Cisco warnt vor Sicherheitslücken, die es nicht patchen wird
Zusammenfassung
Cisco warnte im Januar 2023 vor kritischen Lücken in den Small-Business-Routern RV016, RV042, RV042G und RV082, kündigte aber an, keine Updates mehr zu liefern. Über manipulierte HTTP-Anfragen an die Weboberfläche ließ sich die Authentifizierung umgehen und Root-Zugriff erlangen (CVE-2023-20025). Da die Geräte ihr Lebensende erreicht hatten, verwies Cisco nur auf das Sperren der Ports 443 und 60443, obwohl bereits Proof-of-Concept-Code existierte.
Ideen
- Geräte nach dem Supportende bleiben dauerhaft verwundbar.
- Eine zweite Lücke (CVE-2023-20026) erlaubte Codeausführung mit Admin-Zugangsdaten.
- Ohne erreichbare Verwaltungsoberfläche lassen sich beide Lücken nicht ausnutzen.
- Hardware-Support und Software-Wartung enden bei Cisco zu unterschiedlichen Zeitpunkten.
Einsichten
- Das Supportende eines Geräts ist ein Sicherheitsdatum, kein reines Vertragsdatum.
- Workarounds ersetzen keine Patches, wenn Angriffscode bereits kursiert.
Fakten
- Für RV082 und RV016 endete der Support 2021.
- Die Softwarewartung für RV042 und RV042G endete 2021, die Hardware wurde bis 2025 unterstützt.
Referenzen
Kritik
- Die Meldung nennt nicht, wie viele dieser Router noch aus dem Internet erreichbar waren.
Empfehlungen
- Führe ein Inventar mit Supportende-Daten aller Netzwerkgeräte.
- Ersetze Router vor ihrem Softwarewartungsende, nicht erst nach einer Lücke.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.