Cisco の EoL ルータ群:認証バイパスのゼロデイ脆弱性が放置される

Cisco won’t fix authentication bypass zero-day in EoL routers

2022/09/07 BleepingComputer — Cisco の新たな発表は、中小企業向け VPN ルーターに影響をおよぼす認証バイパスの脆弱性について、デバイスが製造終了 (EoL) に達したことを理由として、パッチを適用しないというものである。このゼロデイ脆弱性 CVE-2022-20923 は、パスワード検証アルゴリズムの欠陥に起因するものであり、IPSec VPN サーバー機能が有効化されている場合に、細工された認証情報も用いる攻撃者に対して、脆弱なデバイス上の VPN にログインを許すというものである。

Continue reading “Cisco の EoL ルータ群:認証バイパスのゼロデイ脆弱性が放置される”

Cisco VPN Router のゼロデイ脆弱性 CVE-2022-20825 が FIX:ただし EOL デバイスはサポートされない

Cisco says it won’t fix zero-day RCE in end-of-life VPN routers

2022/06/16 BleepingComputer — Cisco は、未パッチのリモートコード実行の脆弱性を公開したが、生産終了した Small Business RV ルーターの所有者に対しては、新たなモデルへのアップグレードを推奨している。この脆弱性 CVE-2022-20825 は、CVSS スコア 9.8 という深刻なものである。Cisco のセキュリティ・アドバイザリによると、この脆弱性の影響を受けるデバイスでは、受信された HTTP パケットに対するユーザー入力検証が不十分だとされる。したがって、特別に細工したリクエストを Web_based 管理インターフェイスに送信することで、この脆弱性の悪用に成功した攻撃者は、root レベルの特権でコマンドを実行させることが可能になる。

Continue reading “Cisco VPN Router のゼロデイ脆弱性 CVE-2022-20825 が FIX:ただし EOL デバイスはサポートされない”