La línea de routers Cisco RV es ampliamente difundida en PyMES de todo el mundo.

Son una solución económica y robusta, que brinda acceso a internet a las empresas, además poseen capacidades de Firewall e incluso de VPN, algunos modelos también permite tener 2 enlaces WAN hacia internet y balancearlos.

Ahora esta línea de productos tienen una serie de vulnerabilidades críticas (score CVSS 10/10) que permiten al atacante realizar acciones como ejecutar código arbitrario, elevar los privilegios, ejecutar comandos arbitrarios, evitar las protecciones de autenticación y autorización, obtener y ejecutar software sin firmar y causar denegación de servicio (DoS).

• CVE-2022-20699: Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers SSL VPN Remote Code Execution Vulnerability
• CVE-2022-20700, CVE-2022-20701, CVE-2022-20702: Cisco Small Business RV Series Routers Privilege Escalation Vulnerabilities
• CVE-2022-20703: Cisco Small Business RV Series Routers Digital Signature Verification Bypass Vulnerability
• CVE-2022-20704: Cisco Small Business RV Series Routers SSL Certificate Validation Vulnerability
• CVE-2022-20705: Cisco Small Business RV Series Routers Improper Session Management Vulnerability
• CVE-2022-20706: Cisco RV Series Routers Open Plug and Play Command Injection Vulnerability
• CVE-2022-20707, CVE-2022-20708, CVE-2022-20749: Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Command Injection Vulnerabilities
• CVE-2022-20709: Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Arbitrary File Upload Vulnerability
• CVE-2022-20710: Cisco Small Business RV Series Routers GUI Denial of Service Vulnerability
• CVE-2022-20711: Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Arbitrary File Overwrite Vulnerability
• CVE-2022-20712: Cisco Small Business RV Series Routers Upload Module Remote Code Execution Vulnerability

Cisco ha lanzado actualizaciones que resuelven este problema. Debido a su criticidad, es necesario parchear de forma urgente estos equipos.

Lamentablemente, solo tienen acceso a las actualizaciones de forma periódica y gratuitas quienes tienen contrato de servicio activo con Cisco y para los productos que tienen contrato; quienes no poseen contrato activo, deberán contactar con el TAC de Cisco y tener disponible el número de serie del equipo a parchear.

Adolfo Fioranelli de la Redacción Segu-Info