PT-2021-1935 · Cisco · Cisco Small Business Rv160+4

T. Shiomitsu · Publicado 2021-02-03 · Atualizado 2022-08-05 · CVE-2021-1296

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:C

Nome do software vulnerável e versões afetadas

Roteadores VPN Cisco Small Business RV160, RV160W, RV260, RV260P e RV260W (versões afetadas não especificadas)

Descrição

O problema está relacionado à validação insuficiente de entradas na interface de gerenciamento baseada na web dos dispositivos afetados, permitindo que um invasor remoto não autenticado realize ataques de traversal de diretório e sobrescreva determinados arquivos que deveriam estar restritos em um sistema afetado. Um invasor poderia explorar essa vulnerabilidade usando a interface de gerenciamento baseada na web para enviar um arquivo para um local em um dispositivo afetado ao qual não deveria ter acesso, potencialmente sobrescrevendo arquivos no sistema de arquivos do dispositivo afetado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-36

CWE-22

Identificadores relacionados

BDU:2021-00739

CVE-2021-1296

ZDI-21-134

Produtos afetados

Cisco Small Business Rv160

Cisco Small Business Rv160W

Cisco Small Business Rv260

Cisco Small Business Rv260P

Cisco Small Business Rv260W

Referências · 7

• https://bdu.fstec.ru/vul/2021-00739 · Nota de Segurança
• https://t.me/cvenotify/9597 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-21-134 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-1296 · Nota de Segurança
• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv160-260-filewrite-7x9mnKjn · Aviso do Fabricante
• https://t.me/true_secator/1403 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-1296 · Aviso do Fabricante