Uma falha de segurança existente em roteadores mais antigos da Cisco não vai ser corrigida pela empresa. Tudo por conta da idade, já que os aparelhos chegaram ao fim da vida útil há dois anos.
A vulnerabilidade crítica CVE-2021-34730 ganhou um score CVSS (Common Vulnerability Scoring System, "Sistema de Pontuação Comum de Vulnerabilidade") de 9,8/10. Ou seja, extremamente grave. Atinge o serviço Universal Plug-and-Play (UPnP) dos roteadores, permitindo que um invasor remoto não autenticado execute um código arbitrário.
O invasor também consegue fazer com que o dispositivo afetado reinicie inesperadamente, resultando em uma condição de negação de serviço (DoS).
Em outras palavras, a falha pode ser usada para enviar uma solicitação UPnP especialmente criada para um dispositivo afetado. Com ela, o agente mal intencionado consegue realizar a execução remota de código como usuário raiz no sistema operacional subjacente.
A Cisco aponta que a falha nos roteadores existe devido à validação inadequada do tráfego UPnP de entrada. Quentin Kaiser, do IoT Inspector Research Lab, recebeu o crédito por relatar a vulnerabilidade.
Roteadores afetados
Em seu comunicado, a empresa afirma que "não lançou e não lançará atualizações de software para lidar com a vulnerabilidade descrita". A Cisco observa que o serviço UPnP é habilitado por padrão nas interfaces LAN e desabilitado por padrão nas interfaces WAN.
Se o UPnP estiver desabilitado nas interfaces LAN e WAN, o dispositivo não será considerado vulnerável. Na ausência de um patch, a Cisco recomenda que os clientes desabilitem o UPnP na interface LAN.
A vulnerabilidade afeta os seguintes Roteadores Cisco Small Business Série RV, se eles tiverem UPnP configurado:
- Firewalls VPN Wireless-N RV110W
- Roteadores VPN RV130
- Roteadores VPN Multifuncionais RV130W Wireless-N
- Roteadores VPN Wireless-N RV215W
Os clientes são aconselhados pela empresa a consultar o aviso de fim de vida desses produtos, que pode ser pesquisado aqui . Além disso, a Cisco incentiva a migração para os roteadores Cisco Small Business RV132W, RV160 ou RV160W.
Atualizar para proteger
Para especialistas em segurança digital, empresas que ainda usam roteadores VPN antigos devem constantemente tomar medidas para atualizar seus dispositivos. Isso porque falhas como esta dos dispositivos da Cisco são uma excelente oportunidade para pessoas mal intencionadas realizarem procedimentos nocivos a partir da invasão de sistemas.
A falha CVE-2021-34730 marca a segunda vez que a Cisco segue a abordagem de não lançar correções para roteadores em fim de vida desde o início do ano. No início de abril, a Cisco pediu aos usuários para atualizarem seus roteadores como uma contramedida para resolver um bug de execução remota de código semelhante, o CVE-2021-1459. Este problema afetava o firewall VPN RV110W e os roteadores RV130, RV130W e RV215W para pequenas empresas.
Já esta semana, a Cisco também emitiu um alerta para uma falha crítica BadAlloc, que afeta o BlackBerry QNX Real-Time Operating System (RTOS). Neste caso, a empresa afirma que está "investigando sua linha de produtos para determinar quais produtos e serviços podem ser afetados por esta vulnerabilidade".