Cisco Small Business路由器远程下令执行误差（CVE-2021-1287）
宣布时间 2021-03-180x00 误差概述
CVE ID | CVE-2021-1287 | 时 间 | 2021-03-18 |
类 型 | 远程下令执行 | 等 级 | 高危 |
远程使用 | 是 | 影响规模 |
0x01 误差详情
2021年03月17日，Cisco宣布清静通告，果真了其小型企业RV132W和RV134W路由器中的一个远程下令执行误差，误差追踪为CVE-2021-1287，其CVSS评分为7.2。
该误差保存于Web的管理界面中，由于没有准确验证用户的输入，经由身份验证的攻击者可以通过向受影响的装备发送恶意的HTTP请求来使用此误差。乐成使用此误差的攻击者能够以root用户的身份在系统上执行恣意代码、导致装备重新加载或拒绝服务（DoS）。
今年2月，Cisco还修复了其小型企业VPN路由器产品系列（RV160、RV160W、RV260、RV260P和RV260W VPN路由器）中的多个严重误差，攻击者可以使用这些误差来审查、改动数据，或执行恣意代码。
影响规模
RV132W ADSL2 + Wireless-N VPN路由器（固件版本 < 1.0.1.15）
RV134W VDSL2 Wireless-AC VPN路由器（固件版本 < 1.0.1.21）
0x02 处置惩罚建议
现在官方已修复了此误差，建议升级至以下版本：
RV132W ADSL2 + Wireless-N VPN路由器固件版本 >= 1.0.1.15
RV134W VDSL2 Wireless-AC VPN路由器固件版本 >= 1.0.1.21
下载链接：
https://software.cisco.com/download/home
0x03 参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-132w134w-overflow-Pptt4H2p
https://threatpost.com/cisco-security-hole-small-business-routers/164859/
/new_type/aqtg/20210204/22362.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-1287
0x04 时间线
2021-03-17 Cisco宣布清静通告
2021-03-18 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号