Cisco, Ömrünü Tamamlayan VPN Yönlendiricilerdeki Sıfır Gün Açığını Gidermeyecek
Çarşamba günü yayınlanan bir güvenlik raporunda Cisco, birden fazla VPN yönlendiricisinin Evrensel Tak ve Çalıştır (UPnP) hizmetindeki kritik bir güvenlik açığının, cihazların kullanım ömrünün sonuna ulaşması nedeniyle yamalanmayacağını söyledi.
Sıfır gün hatası (CVE-2021-34730 olarak kodlanmış ve 9.8/10 önem puanı ile derecelendirilmiştir) gelen UPnP trafiğinin yanlış doğrulanmasından kaynaklanıyor ve IoT Inspector Research Lab’den Quentin Kaiser tarafından rapor edilmiştir.
Kimliği doğrulanmamış saldırganlar, güvenlik açığı bulunan cihazları yeniden başlatmak veya temel işletim sisteminde kök kullanıcı olarak uzaktan rastgele kod yürütmek için bu açıktan yararlanabilir.
Şirket, “Cisco, belgede açıklanan güvenlik açığını gidermek için yazılım güncellemeleri yayınlamadı ve yayınlamayacaktır” açıklamasını yaptı.
“Cisco Small Business RV110W, RV130, RV130W ve RV215W Yönlendiriciler kullanım ömürlerinde sona geldi.”
Cisco’nun web sitesinde yapılan bir duyuruya göre, bu RV Serisi yönlendiricilerin siparişe açık olduğu son gün 2 Aralık 2019 idi.
Şirket, hala bu yönlendirici modellerini kullanan müşterilerden, güvenlik güncellemelerini almaya devam eden daha yeni Cisco Small Business RV132W, RV160 veya RV160W Yönlendiricilerine geçmelerini öneriyor.
Ek olarak Cisco, Ürün Güvenliği Olay Müdahale Ekibinin (PSIRT), bu sıfır gün için herhangi bir aktif kullanımına rastlamadıklarını belirtti.
Söz konusu sıfır gün açığından kolayca korunabilirsiniz
Hata, yalnızca UPnP hizmeti açık olduğu takdirde RV110W, RV130, RV130W ve RV215W yönlendirici modellerini etkiliyor.
Cisco’ya göre, UPnP yalnızca LAN (yerel alan ağı) arabirimlerindeki cihazlar için varsayılan olarak etkinleştirilir ve tüm WAN (geniş alan ağı) arabirimleri için varsayılan olarak devre dışı konumdadır.
Hizmet hem LAN hem de WAN arabirimlerinde devre dışı bırakıldığında, etkilenen yönlendirici modelleri savunmasız olarak kabul edilemez.
Cisco, bu kritik güvenlik açığını gidermek için güvenlik güncellemeleri yayınlamayı planlamasa da yöneticiler, web tabanlı yönetim arabirimleri aracılığıyla etkilenen tüm yönlendiricilerde UPnP hizmetini devre dışı bırakarak saldırıları engellemek için saldırı vektörünü ortadan kaldırabilir.
Şirket müşterilerine yol göstermek adına, “Bir cihazın LAN arayüzünde UPnP özelliğinin etkinleştirilip etkinleştirilmediğini belirlemek için web tabanlı yönetim arayüzünü açın ve Temel Ayarlar > UPnP’ye gidin, “Devre Dışı Bırak” onay kutusu işaretli değilse, cihazda UPnP etkindir.” açıklamasını yaptı.
Kaynak: bleepingcomputer.com
Diğer Haberler
Yeni Windows 10 21H2 Versiyonu, Gelişmiş WiFi Güvenliğiyle Sunuyor
T-Mobile, Bilgisayar Korsanlarının 48.6 Milyon Kişiye Ait Kayıtları Çaldığını Doğruladı
Valve, Steam’e sınırsız cüzdan parası eklenmesini sağlayan açığını kapattı!
