Cisco will alte Geräte nicht mehr patchen

Cisco wird für RV-Router nach deren End-of-Life keine Sicherheits-Patches mehr anbieten. Kunden sollten diese Geräte dingend austauschen.

von Dr. Jakob Jung am 15. Januar 2021 , 11:56 Uhr

Der Netzwerkausrüster Cisco hat mitgeteilt, dass er keine Firmware-Updates zur Behebung von 74 Schwachstellen veröffentlichen wird, die in seiner RV-Router-Reihe gemeldet wurden, die das End-of-Life (EOL) erreicht hat.

Zu den betroffenen Geräten gehören die Systeme Cisco Small Business RV110W, RV130, RV130W und RV215W, die sowohl als Router, Firewalls und VPNs eingesetzt werden können.

Alle vier haben in den Jahren 2017 und 2018 das EOL erreicht und auch ihr letztes Wartungsfenster im Rahmen von bezahlten Support-Verträgen ist am 1. Dezember 2020 ausgelaufen.

In drei Sicherheitshinweisen berichtet Cisco, dass es seit Dezember Fehlermeldungen für Schwachstellen erhalten hat, die von einfachen Denial-of-Service-Problemen, die Geräte zum Absturz brachten, bis hin zu Sicherheitslücken reichten, die genutzt werden konnten, um Zugriff auf Root-Accounts zu erhalten und Router zu kapern.

Insgesamt gab der Gerätehersteller an, 74 Fehlerberichte erhalten zu haben, aber keine Software-Patches, Abhilfemaßnahmen oder Workarounds zu veröffentlichen, da die Geräte bereits Jahre zuvor das EOL erreicht hatten.

Stattdessen riet das Unternehmen seinen Kunden, auf neuere Geräte umzusteigen, wie z. B. die Modelle RV132W, RV160 oder RV160W, die die gleichen Funktionen bieten und noch aktiv unterstützt werden.

Einigen Kunden mag die Entscheidung des Unternehmens nicht gefallen, aber die gute Nachricht ist, dass keiner der heute bekannt gewordenen Bugs leicht ausgenutzt werden kann.

Cisco sagte, dass alle Schwachstellen voraussetzen, dass ein Angreifer Anmeldedaten für das Gerät hat, was das Risiko eines Angriffs auf ein Netzwerk in den kommenden Wochen oder Monaten reduziert und Administratoren die Möglichkeit gibt, einen Migrationsplan auf neuere Geräte zu planen und vorzubereiten oder zumindest eigene Gegenmaßnahmen zu ergreifen.

Die CVE-Kennungen der Fehler, die Cisco in seinen EOL-Routern nicht gepatcht hat, sind im Folgenden aufgeführt:

CVE-2021-1146

CVE-2021-1147

CVE-2021-1148

CVE-2021-1149

CVE-2021-1150

CVE-2021-1151

CVE-2021-1152

CVE-2021-1153

CVE-2021-1154

CVE-2021-1155

CVE-2021-1156

CVE-2021-1157

CVE-2021-1158

CVE-2021-1159

CVE-2021-1160

CVE-2021-1161

CVE-2021-1162

CVE-2021-1163

CVE-2021-1164

CVE-2021-1165

CVE-2021-1166

CVE-2021-1167

CVE-2021-1168

CVE-2021-1169

CVE-2021-1170

CVE-2021-1171

CVE-2021-1172

CVE-2021-1173

CVE-2021-1174

CVE-2021-1175

CVE-2021-1176

CVE-2021-1177

CVE-2021-1178

CVE-2021-1179

CVE-2021-1180

CVE-2021-1181

CVE-2021-1182

CVE-2021-1183

CVE-2021-1184

CVE-2021-1185

CVE-2021-1186

CVE-2021-1187

CVE-2021-1188

CVE-2021-1189

CVE-2021-1190

CVE-2021-1191

CVE-2021-1192

CVE-2021-1193

CVE-2021-1194

CVE-2021-1195

CVE-2021-1196

CVE-2021-1197

CVE-2021-1198

CVE-2021-1199

CVE-2021-1200

CVE-2021-1201

CVE-2021-1202

CVE-2021-1203

CVE-2021-1204

CVE-2021-1205

CVE-2021-1206

CVE-2021-1207

CVE-2021-1208

CVE-2021-1209

CVE-2021-1210

CVE-2021-1211

CVE-2021-1212

CVE-2021-1213

CVE-2021-1214

CVE-2021-1215

CVE-2021-1216

CVE-2021-1217

CVE-2021-1307

CVE-2021-1360