Cisco: Kein Patch für Zero-Day-Lücke in nicht mehr unterstützten VPN-Routern

Cisco hat angekündigt, dass es keine Software-Updates für eine kritische Schwachstelle im Universal Plug-and-Play (UPnP) Service in den Small-Business-Routern RV110W, RV130, RV130W und RV215W veröffentlichen wird, da diese Produkte offiziell ihr End-of-Life erreicht haben. Die Schwachstelle ermöglicht es entfernten Angreifern, ohne Authentifizierung beliebigen Code auszuführen oder ein betroffenes Gerät unerwartet neu zu starten, was zu einer Denial-of-Service-Situation (DoS) führt.

„Diese Schwachstelle ist auf eine unsachgemäße Validierung des eingehenden UPnP-Datenverkehrs zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine manipulierte UPnP-Anfrage an ein betroffenes Gerät sendet. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, beliebigen Code als Root-User auf dem zugrundeliegenden Betriebssystem auszuführen oder das Gerät neu zu starten“, so Cisco in einer Sicherheitswarnung.

„Cisco hat keine Software-Updates veröffentlicht, die diese Sicherheitslücke beheben. Es gibt keine Workarounds, die diese Schwachstelle beheben“, ergänzte das Unternehmen. Die Schwachstelle betrifft die Router der RV-Serie nur, wenn UPnP aktiviert wurde. Der Dienst ist ab Werk auf der LAN-Schnittstelle aktiv, auf der WAN-Schnittstelle jedoch inaktiv.

Um herauszufinden, ob die UPnP-Funktion auf der LAN-Schnittstelle eines Geräts aktiviert ist, sollten die Benutzer die webbasierte Verwaltungsoberfläche öffnen und zu Grundeinstellungen > UPnP navigieren, so das Unternehmen. Wenn das Kontrollkästchen Deaktivieren nicht markiert ist, ist UPnP auf dem Gerät aktiviert.