Több kisvállalat is érintett lehet egyes VPN routerek egy nemrég felfedezett zero day sérülékenységében (CVE-2022-20923), ami egy hibás jelszóellenőrzési algoritmusból ered.
A sérülékenység kihasználásával – amennyiben az IPSec VPN Server funkció engedélyezve van ─ megkerülhető a hitelesítési folyamat. A támadók így a használt hitelesítő adatoktól függetlenül, akár rendszergazdai jogosultságokat is szerezhetnek a rendszeren.
Mivel a sérülékenységben érintett RV110W, RV130, RV130W és RV215W routerek az életciklusuk végéhez közelednek (end-of-life – EoL), a Cisco nem tervez biztonsági javítást készíteni, ehelyett inkább arra kéri ügyfeleit, hogy cseréljék le eszközeiket egy még támogatott, frissebb modellre.
Annak megállapításához, hogy az IPSec VPN Server engedélyezve van-e a routeren, be kell jelentkezni a webes kezdőfelületre, majd a VPN > IPSec VPN Server > Setup menüben ellenőrizni kell, hogy a „Server engedélyezése” jelölőnégyzetet be van-e jelölve. Amennyiben igen, az eszköz ki van téve a sérülékenységnek.
Bár a funkció kikapcsolása átmeneti megoldásnak jó lehet, hosszútávon ─ a további kockázatok csökkentése érdekében ─ mindenképp érdemes lecserélni az eszközöket a Cisco Small Business RV132W, RV160 vagy RV160W routerekre, ugyanis nem ez az első eset, hogy a Cisco nem javítja ki a már nem támogatott routerek biztonsági réseit.
