Cisco yakın zamanda RV340 ve RV345 Dual WAN Gigabit VPN Yönlendiricilerinin yükleme modülünde önemli bir kusur olduğunu açıkladı. Bu kusur, uzaktan, kimliği doğrulanmış bir saldırganın etkilenen bir cihazda keyfi kod çalıştırmasına izin verebilir.
CVSS taban puanı 6.5 olan bu orta şiddetteki güvenlik açığı CVE-2024-20416 olarak izleniyor. Belirtilen HTTP istekleri işlenirken yetersiz sınır kontrollerinden kaynaklanıyor.
Cisco, “Bir saldırgan, etkilenen cihaza hazırlanmış HTTP istekleri göndererek bu güvenlik açığından yararlanabilir” dedi.
Bu istismar başarılı olursa, saldırgan cihazın altta yatan işletim sisteminde kök kullanıcı olarak keyfi kod çalıştırabilir. VulnCheck, Inc.’den Jacob Baines bu açığı keşfetti.
AI Destekli Güvenlik ile İş E-postalarınızı Sahtecilik, Kimlik Avı ve BEC’den Koruyun | Ücretsiz Demo
Savunmasız Ürünler
Yayınlandığı tarih itibarıyla Cisco Small Business Router Firmware Release 1.0.03.24 veya sonraki bir sürümü kullananlar bu güvenlik açığına karşı savunmasızdı:
- RV340 Dual WAN Gigabit VPN Yönlendiricileri
- RV340W Dual WAN Gigabit Kablosuz-AC VPN Yönlendiriciler
- RV345 Dual WAN Gigabit VPN Yönlendiricileri
- RV345P Dual WAN Gigabit PoE VPN Yönlendiricileri
Cisco, aşağıdaki Cisco ürünlerinin bu güvenlik açığından etkilenmediğini doğrulamaktadır:
- RV160 VPN Yönlendiricileri
- RV160W Kablosuz-AC VPN Yönlendiricileri
- RV260 VPN Yönlendiricileri
- PoE’li RV260P VPN Yönlendiricileri
- RV260W Kablosuz-AC VPN Yönlendiricileri
Cisco, herhangi bir kötü amaçlı güvenlik açığından faydalanıldığına veya kamuoyuna duyurulduğuna dair bir bilgi sahibi olmadığını belirtti.
Güvenlik Açığı İçin Düzeltmeler
Cisco tarafından söz konusu açığı giderecek yazılım yamaları henüz yayınlanmadı ve yayınlanmayacak.
Cisco RV340 ve RV345 Dual WAN Gigabit VPN Yönlendiricileri kullanım ömrünün sonuna ulaştı. Bu güvenlik açığı için geçici çözüm yok.
Müşterilerin, bir cihaz geçişini değerlendirirken Cisco Güvenlik Uyarıları sayfasından erişilebilen Cisco ürünlerine ilişkin uyarıları düzenli olarak incelemeleri, böylece maruziyeti belirlemeleri ve kapsamlı bir güncelleme çözümü sunmaları önerilir.
Günümüzün büyük bir tehdidi olan yavaş DDoS saldırılarıyla mücadele hakkında bilgi edinmek için ücretsiz web seminerimize katılın.