Router: Cisco warnt vor Sicherheitslücken, die es nicht patchen wird

Der Netzwerkausstatter Cisco warnt vor schwerwiegenden Sicherheitslücken in mehreren Routern. Derweil existiert bereits Code zur Ausnutzung.

Artikel veröffentlicht am 13. Januar 2023, 14:49 Uhr, Moritz Tremmel

Ein Gebäude von Cisco (Bild: DennisM2/CC0 1.0)

In einer Warnung vor kritischen Sicherheitslücken in mehreren Routern von Cisco schreibt der Hersteller, dass er "weder Updates veröffentlicht hat oder veröffentlichen wird" - obwohl bereits Proof-of-Concept-Code für eine der Sicherheitslücken verfügbar sei. Cisco nennt dafür zwei Gründe.

Betroffen sind die vier Small-Business-Routermodelle RV016, RV042, RV042G und RV082. Durch eine fehlerhafte Validierung von Benutzereingaben in eingehenden HTTP-Paketen können Angreifer die Authentifizierung auf den Geräten umgehen (CVE-2023-20025).

"Ein Angreifer könnte diese Sicherheitslücke ausnutzen, indem er eine manipulierte HTTP-Anfrage an die webbasierte Verwaltungsschnittstelle sendet. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, die Authentifizierung zu umgehen und Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen", heißt es in der Warnung von Cisco.

Bei einer zweiten Sicherheitslücke (CVE-2023-20026) handelt es sich ebenfalls um ein HTTP-Validierungsproblem, das die Ausführung von Code aus der Ferne ermöglicht - jedoch nur, wenn ein Angreifer bereits über Admin-Zugangsdaten für das Gerät verfügt.

Cisco verweist auf Workaround und EOL

Beide Sicherheitslücken lassen sich nicht ausnutzen, wenn die Angreifer nicht auf die Verwaltungsoberfläche zugreifen können. Daher verweist Cisco auf den Workaround, die beiden Ports 443 und 60443 zu blockieren. Ein Patch werde nicht zur Verfügung gestellt, da die Router bereits ihr Lebensende (End of Life, EOL) erreicht hätten, erklärt Cisco.

Cisco hat laut dem Onlinemagazin The Register den Support für die Router RV082 und RV016 im Jahr 2021 eingestellt, und die Softwarewartung für die Modelle RV042 und RV042G endete im selben Jahr - allerdings wird die Hardware noch bis 2025 unterstützt.

Dabei ist sich Cisco "bewusst, dass Proof-of-Concept-Exploit-Code für die in diesem Hinweis beschriebenen Schwachstellen verfügbar ist", aber "ist sich keiner böswilligen Nutzung der in diesem Hinweis beschriebenen Schwachstellen bewusst". Dabei dürfte es aber nicht bleiben.