CVE-2019-1653
Cisco Small Business RV320 and RV325 Routers Information Disclosure Vulnerability
Beschreibung
CVE-2019-1653 ist eine schwerwiegende Informationsoffenlegungs-Schwachstelle in Cisco Small Business RV320 und RV325 Dual Gigabit WAN VPN Routern mit einem CVSS-3.1-Score von 7.5. Die Schwachstelle besteht aufgrund unzureichender Zugriffskontrollen fuer URLs im webbasierten Management-Interface und ermoeglicht einem nicht authentifizierten Angreifer ueber das Netzwerk den Zugriff auf sensible Informationen wie die Router-Konfiguration oder detaillierte Diagnosedaten. Betroffene Produkte umfassen Cisco RV320 Firmware (1.4.2.15, 1.4.2.17) und Cisco RV325 Firmware (1.4.2.15, 1.4.2.17). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.94378 (99,97. Perzentile) belegt eine extrem hohe reale Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | rv320 firmware | 1.4.2.15; 1.4.2.17 |
| cisco | rv325 firmware | 1.4.2.15; 1.4.2.17 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/152260/Cisco-RV320-Unauthenticated-Configuration-Export.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/152261/Cisco-RV320-Unauthenticated-Diagnostic-Data-Retrieval.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/152305/Cisco-RV320-RV325-Unauthenticated-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2019/Mar/59(Exploit, Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2019/Mar/60(Exploit, Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/106732(Third Party Advisory, VDB Entry)
- https://badpackets.net/over-9000-cisco-rv320-rv325-routers-vulnerable-to-cve-2019-1653/(Third Party Advisory)
- https://seclists.org/bugtraq/2019/Mar/53(Mailing List, Third Party Advisory)
- https://seclists.org/bugtraq/2019/Mar/54(Mailing List, Third Party Advisory)
- https://threatpost.com/scans-cisco-routers-code-execution/141218/(Third Party Advisory)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-info(Vendor Advisory)
- https://www.exploit-db.com/exploits/46262/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/46655/(Third Party Advisory, VDB Entry)
- https://www.youtube.com/watch?v=bx0RQJDlGbY(Third Party Advisory)
- https://www.zdnet.com/article/hackers-are-going-after-cisco-rv320rv325-routers-using-a-new-exploit/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1653(US Government Resource)
Schwachstellentyp
CWE-284: Unzureichende Zugriffskontrolle
CVE-2019-1653 wird unter CWE-284 klassifiziert — Unzureichende Zugriffskontrolle. Diese Schwachstellenklasse tritt auf, wenn Software den Zugriff auf Ressourcen nicht ordnungsgemaess einschraenkt. Sie umfasst Authentifizierungs-Bypass, Autorisierungs-Bypass und unzureichende Durchsetzung von Zugriffsrichtlinien.
Im Kontext der Cisco Small Business RV320 und RV325 Router aeussert sich die unzureichende Zugriffskontrolle durch ungeschuetzte URL-Endpunkte, die Konfigurationsdateien und Diagnosedaten fuer nicht authentifizierte Benutzer offenlegen. Angreifer koennen durch einfache HTTP- oder HTTPS-Anfragen an bestimmte URLs die vollstaendige Router-Konfiguration herunterladen, die typischerweise administrative Zugangsdaten, VPN-Schluessel und Netzwerktopologie-Informationen enthaelt. Ueber 9.000 verwundbare Router wurden als im Internet exponiert identifiziert, was diese Schwachstelle zu einem hochattraktiven Ziel fuer Massenausnutzungskampagnen macht.
Mehr erfahren: CWE-284 — Unzureichende Zugriffskontrolle
Auswirkungsanalyse
CVE-2019-1653 traegt einen CVSS-3.1-Score von 7.5 (HOCH) mit unveraendertem Scope.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermoeglicht das Herunterladen der kompletten Router-Konfiguration einschliesslich administrativer Zugangsdaten, VPN Pre-Shared Keys, Netzwerkkonfigurationsdetails und potenziell Zugangsdaten fuer verbundene Dienste.
Integritaet (NONE): Die Schwachstelle ermoeglicht keine direkte Aenderung von Systemdateien oder Konfigurationen. Die erlangten Zugangsdaten koennen jedoch fuer vollstaendigen administrativen Zugriff missbraucht werden.
Verfuegbarkeit (NONE): Die Schwachstelle beeintraechtigt die Verfuegbarkeit des betroffenen Geraets nicht direkt. Der Router funktioniert waehrend und nach der Ausnutzung normal weiter.
Scope: Der Scope ist Unchanged (U), die Auswirkungen sind auf die verwundbare Komponente beschraenkt. Die offengelegten Zugangsdaten und Konfigurationsdaten koennen jedoch als Ausgangspunkt fuer weitere Angriffe auf das breitere Netzwerk dienen.
Mit einem EPSS-Score von 0.94378 (99,97. Perzentile) gehoert CVE-2019-1653 zu den am haeufigsten ausgenutzten Schwachstellen.
Exploit-Reifegrad
Exploit-Status: CVE-2019-1653 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Mehrere oeffentliche Exploits sind verfuegbar, unter anderem auf Exploit-DB und PacketStorm. Die Ausnutzung ist trivial und erfordert lediglich eine einfache HTTP-Anfrage an bestimmte URLs des Management-Interface.
Ransomware-Bezug: Kein direkter Ransomware-Zusammenhang wurde fuer CVE-2019-1653 bestaetigt. Die offengelegten Zugangsdaten koennen jedoch laterale Bewegung und tiefere Netzwerkkompromittierung ermoeglichen, die zu Ransomware-Einsatz fuehren kann.
Angriffsflaeche: Die Schwachstelle betrifft das webbasierte Management-Interface, das bei Small-Business-Routern haeufig aus dem Internet erreichbar ist. Ueber 9.000 verwundbare Geraete wurden kurz nach der Veroeffentlichung online identifiziert. Oeffentlicher Exploit-Code macht die Ausnutzung auch fuer gering qualifizierte Angreifer zugaenglich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen mit RV320 oder RV325 Routern sollten umgehend Firmware-Updates anwenden oder den Zugriff auf das Management-Interface einschraenken.
Behebung
- Firmware-Updates umgehend anwenden. Wenden Sie Updates gemaess den Anweisungen des Herstellers an. Konsultieren Sie Ciscos Sicherheitshinweis (cisco-sa-20190123-rv-info) fuer spezifische Firmware-Versionen.
- Zugriff auf Management-Interface einschraenken. Stellen Sie sicher, dass das webbasierte Management-Interface nicht aus dem Internet erreichbar ist. Verwenden Sie Firewall-Regeln, um den Zugriff auf vertrauenswuerdige IP-Adressen zu beschraenken.
- Alle Zugangsdaten rotieren. Aendern Sie nach dem Patching umgehend alle administrativen Passwoerter, VPN Pre-Shared Keys und alle in der Router-Konfiguration gespeicherten Zugangsdaten.
- Auf vorherige Kompromittierung pruefen. Ueberpruefen Sie Zugriffsprotokolle auf Anfragen an bekannte Exploit-URLs. Pruefen Sie auf unautorisierte Konfigurationsaenderungen oder neue Admin-Konten.
- Netzwerksegmentierung implementieren. Stellen Sie sicher, dass Management-Interfaces fuer Netzwerkgeraete in einem dedizierten Management-VLAN isoliert sind.
- Geraeteaustausch erwaegen. Die RV320 und RV325 sind Small-Business-Router mit eingeschraenkten Sicherheitsfunktionen. Evaluieren Sie, ob ein aktuelleres Geraet mit fortlaufendem Hersteller-Support angemessener waere.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexitaet: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Nicht erforderlich
Technischer Ablauf: Das webbasierte Management-Interface der Cisco RV320 und RV325 Router setzt Zugriffskontrollen auf bestimmte URL-Endpunkte nicht ordnungsgemaess durch. Ein Angreifer kann manipulierte HTTP- oder HTTPS-Anfragen an diese Endpunkte senden, um die vollstaendige Router-Konfigurationsdatei oder detaillierte Diagnoseinformationen ohne jegliche Authentifizierung abzurufen. Die Konfigurationsdatei enthaelt sensible Daten wie administrative Zugangsdaten, VPN-Einstellungen, SNMP-Community-Strings und Netzwerktopologie-Details.
CVSS-3.1-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N): Der netzwerkbasierte Angriffsvektor ohne erforderliche Berechtigungen und ohne Benutzerinteraktion macht diese Schwachstelle fuer Remote-Angreifer leicht zugaenglich. Die Auswirkung ist auf die Vertraulichkeit (HIGH) beschraenkt.
Betroffene Produkte: Cisco RV320 Firmware (Versionen 1.4.2.15 und 1.4.2.17) und Cisco RV325 Firmware (Versionen 1.4.2.15 und 1.4.2.17).
Häufig gestellte Fragen
Wird CVE-2019-1653 aktiv ausgenutzt?
Ja, CVE-2019-1653 wird aktiv in der Praxis ausgenutzt. Mehrere oeffentliche Exploits existieren und Massenscannings nach verwundbaren Geraeten wurden umfassend dokumentiert. Der EPSS-Score von 0.94378 (99,97. Perzentile) bestaetigt eine extrem hohe reale Ausnutzungsrate. Die Schwachstelle ist im CISA KEV-Katalog gelistet.
Welche Produkte sind von CVE-2019-1653 betroffen?
Cisco Small Business RV320 und RV325 Dual Gigabit WAN VPN Router mit Firmware-Versionen 1.4.2.15 und 1.4.2.17 sind betroffen. Diese Router werden haeufig in kleinen und mittleren Unternehmen fuer VPN-Konnektivitaet und Internetzugang eingesetzt.
Wie behebe ich CVE-2019-1653?
Wenden Sie Firmware-Updates gemaess Ciscos Sicherheitshinweis (cisco-sa-20190123-rv-info) an. Beschraenken Sie den Zugriff auf das Management-Interface auf vertrauenswuerdige Netzwerke. Rotieren Sie nach dem Patching alle Zugangsdaten einschliesslich Admin-Passwoerter und VPN Pre-Shared Keys.
Wie schwerwiegend ist CVE-2019-1653?
CVE-2019-1653 ist mit einem CVSS-3.1-Score von 7.5 als HOCH eingestuft. Obwohl nur die Vertraulichkeit direkt betroffen ist, koennen die offengelegten Konfigurationsdaten zu einer vollstaendigen Geraetekompromittierung fuehren. Der EPSS-Score von 0.94378 (99,97. Perzentile) platziert sie unter den am haeufigsten ausgenutzten Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.