Cisco comble les failles de sécurité critiques d'un routeur pour PME
Deux vulnérabilités critiques dans les routeurs VPN pour PME de Cisco peuvent actuellement représenter une menace. Mais le fabricant américain a déjà publié des mises à jour logicielles pour combler ces failles de sécurité.
Cisco a corrigé deux failles de sécurité critiques dans l'interface utilisateur web de plusieurs de ses produits. Quatre routeurs VPN de la série «Small Business» sont concernés, a fait savoir Cisco.Il s’agit des modèles RV340, RV340W, RV345 et RV345P Dual WAN Gigabit.
Les deux vulnérabilités CVE-2021-1609 et CVE-2021-1610 sont dues au fait que les dispositifs ne vérifient pas correctement les requêtes HTTP. Un attaquant peut exploiter ces failles à l'aide d'une requête HTTP modifiée afin d'exécuter un code arbitraire. En outre, il pourrait également forcer un redémarrage et ainsi déclencher un déni de service (DoS).
Les deux vulnérabilités étant indépendantes l’une de l’autre, un attaquant n'a besoin d'en exploiter qu'une seule pour réussir son attaque. Une particularité de la faille CVE-2021-1610 permet en outre à l’attaquant d’injecter les commandes malveillantes au niveau du répertoire racine (root).
Pas encore de preuve de concept
Comme l'indique le fournisseur de sécurité informatique Tenable sur son blog, il n'existe actuellement aucune preuve de concept quant à la manière dont les vulnérabilités peuvent être concrètement exploitées.
Cisco a déjà publié des correctifs sur son site.
