【安全圈】竟然不修复！思科企业路由器存在严重漏洞

发布于2023年1月15日2025年7月19日作者:cve-20

【安全圈】竟然不修复！思科企业路由器存在严重漏洞

安全圈 2023-01-14 18:31

关键词

漏洞、思科

思科中小企业产品线RV016、RV042、RV042G和RV082路由器上的网页管理界面存在
严重漏洞
，使得远程攻击者可以绕过身份验证，并在底层操作系统上执行任意命令。

但由于这些路由器生命周期已结束，思科表示不会发布新软件解决这些路由器上的漏洞。

思科这些RV系列中小企业路由器的所有软件版本，皆受到CVE-2023-20025、CVE-2023-20026两漏洞的影响。

CVE-2023-20025是RV016、RV042、RV042G和RV082路由器上，网页管理界面的漏洞，可让未经身份验证的远程攻击者，绕过装置上的身份验证。造成该漏洞的原因是系统未适当地对用户输入进行验证，攻击者可以通过网页管理界面，发送经过设计的HTTP请求利用该漏洞，以成功绕过身份验证获得底层操作系统的根访问权限。

另外CVE-2023-20026则是一个路由器远程命令执行漏洞，该漏洞同样发生在网页管理界面，可允许经过身份验证的远程攻击者，在受影响的装置上执行任意命令。由于系统对传输http封包中的用户输入验证不当，因此可能允许攻击者获得根权限，并且访问未经授权的数据，但攻击者要利用该漏洞，需要先获得设备上有效的管理凭证。

官方提到，他们没有也不会发布解决该漏洞的软件（因为已过产品生命周期），而目前没有解决这个漏洞的变通方法，管理员只能停用远程管理，并且封锁对接口口443和60443的访问来缓解漏洞，实行这些缓解措施后，管理员仍然可以透过LAN接口访问路由器。

END

阅读推荐

【安全圈】本为出差员工搭建的VPN通道，却为境外入侵打开方便之门