CVE-2023-20118
Cisco Small Business RV Series Routers Command Injection Vulnerability
Beschreibung
CVE-2023-20118 ist eine Schwachstelle mittlerer Schwere in der webbasierten Verwaltungsoberflaeche der Cisco Small Business Router der Serien RV016, RV042, RV042G, RV082, RV320 und RV325. Die Sicherheitsluecke ermoeglicht einem authentifizierten, entfernten Angreifer die Ausfuehrung beliebiger Befehle auf dem betroffenen Geraet durch unzureichende Validierung von Benutzereingaben in eingehenden HTTP-Paketen. Mit einem CVSS-Score von 6.5 (MEDIUM) erfordert die Ausnutzung zwar gueltige Administratorrechte, die Auswirkungen auf Vertraulichkeit und Integritaet sind jedoch hoch.
Die CISA hat CVE-2023-20118 in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 2025-03-24. Der EPSS-Score von 3,36 % (87,1. Perzentil) deutet auf eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit hin. Cisco hat bestaetigt, dass keine Sicherheitsupdates fuer diese End-of-Life-Geraete bereitgestellt werden, was die Situation besonders kritisch macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | rv016 firmware | Alle Versionen |
| cisco | rv042 firmware | Alle Versionen |
| cisco | rv042g firmware | Alle Versionen |
| cisco | rv082 firmware | Alle Versionen |
| cisco | rv320 firmware | Alle Versionen |
| cisco | rv325 firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbr042-multi-vuln-ej76Pke5(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-20118(US Government Resource)
Schwachstellentyp
Command Injection durch unzureichende Eingabevalidierung
CVE-2023-20118 basiert auf einer fehlerhaften Validierung von Benutzereingaben innerhalb eingehender HTTP-Pakete an die Verwaltungsoberflaeche. Durch speziell praeparierte Anfragen kann ein authentifizierter Angreifer beliebige Betriebssystembefehle auf dem Router ausfuehren. Diese Schwachstellenklasse entspricht einer OS Command Injection, bei der Benutzereingaben ohne ausreichende Bereinigung in Systembefehle eingespeist werden.
Weitere Informationen: CWE-78 -- Improper Neutralization of Special Elements used in an OS Command
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-20118 sind trotz der Einstufung als MEDIUM erheblich, da die Schwachstelle auf End-of-Life-Geraeten ohne verfuegbare Patches existiert. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N zeigt: Vertraulichkeit (Hoch) -- ein Angreifer mit Administratorzugang kann sensible Konfigurationsdaten, VPN-Zugangsdaten und Netzwerkinformationen exfiltrieren. Integritaet (Hoch) -- beliebige Befehle ermoeglichen die Manipulation der Router-Konfiguration, das Einrichten von Backdoors und die Umleitung des Netzwerkverkehrs. Verfuegbarkeit (Keine) -- die Schwachstelle beeintraechtigt den Betrieb des Geraets nicht direkt. Die erforderlichen hohen Berechtigungen (PR:H) senken den CVSS-Score, aber in der Praxis sind Default-Credentials und Credential-Stuffing bei Small-Business-Routern weit verbreitet. Der EPSS-Score von 3,36 % (87,1. Perzentil) liegt deutlich ueber dem Durchschnitt. Die Aufnahme in den KEV-Katalog bestaetigt aktive Ausnutzung in freier Wildbahn. Der Ransomware-Status ist als Unknown gekennzeichnet.
Exploit-Reifegrad
CVE-2023-20118 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2025-03-24 in den KEV-Katalog aufgenommen. Der EPSS-Score von 3,36 % (87,1. Perzentil) liegt deutlich ueber dem Medianwert aller CVEs und zeigt eine erhoehte Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert, was bedeutet, dass eine Nutzung durch Ransomware-Gruppen weder bestaetigt noch ausgeschlossen ist. Cisco hat in dem Security Advisory lediglich Mitigationsmassnahmen veroeffentlicht, da die betroffenen Router-Modelle den End-of-Life-Status erreicht haben und keine Patches erhalten werden.
Behebung
-
Router ersetzen: Da Cisco keine Sicherheitsupdates fuer die betroffenen RV-Serien-Router bereitstellt, ist der Austausch gegen ein aktuell unterstuetztes Modell die einzig zuverlaessige Loesung. Konsultieren Sie die Cisco Security Advisory fuer empfohlene Nachfolgemodelle.
-
Remote-Management deaktivieren: Deaktivieren Sie sofort den Fernzugriff auf die Verwaltungsoberflaeche. Stellen Sie sicher, dass das Management-Interface nur aus dem lokalen Netzwerk erreichbar ist.
-
Zugangsdaten aendern: Aendern Sie umgehend alle Administrator-Passwoerter auf den betroffenen Routern. Verwenden Sie starke, einzigartige Passwoerter und deaktivieren Sie Standard-Konten.
-
Netzwerksegmentierung pruefen: Isolieren Sie die betroffenen Router in einem separaten Netzwerksegment und beschraenken Sie den Zugriff auf die Verwaltungsoberflaeche ueber ACLs auf vertrauenswuerdige IP-Adressen.
-
Monitoring implementieren: Ueberwachen Sie den Netzwerkverkehr zu und von den betroffenen Routern auf ungewoehnliche Aktivitaeten, insbesondere auf verdaechtige HTTP-Anfragen an das Management-Interface.
Technische Details
CVE-2023-20118 betrifft die Cisco Small Business Router RV016, RV042, RV042G, RV082, RV320 und RV325 in allen Firmware-Versionen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N beschreibt eine Schwachstelle mit hohem Schadenspotenzial bei erforderlicher Authentifizierung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber die webbasierte Verwaltungsoberflaeche erreichbar, die standardmaessig auf HTTPS-Port 443 lauscht. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen oder spezifisches Timing erforderlich. Berechtigungen (Hoch): Der Angreifer benoetigt gueltige Administrator-Zugangsdaten. Benutzerinteraktion (Keine): Der Angriff kann ohne Zutun eines Benutzers erfolgen. Der Angriffsmechanismus nutzt eine unzureichende Validierung von Benutzereingaben in HTTP-Paketen, die an das Management-Interface gesendet werden. Durch das Einschleusen von Sonderzeichen und Betriebssystembefehlen in bestimmte Parameter kann der Angreifer beliebige Befehle auf dem darunterliegenden Linux-Betriebssystem des Routers ausfuehren. Da die betroffenen Geraete End-of-Life sind, wird kein Firmware-Update bereitgestellt.
Häufig gestellte Fragen
Wird CVE-2023-20118 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als Unknown klassifiziert, was bedeutet, dass weder eine Nutzung bestaetigt noch ausgeschlossen ist. Die aktive Ausnutzung wurde jedoch durch die Aufnahme in den KEV-Katalog der CISA bestaetigt. Router-Schwachstellen werden haeufig als Einstiegspunkt fuer weitergehende Angriffe genutzt.
Gibt es einen Patch fuer diese Schwachstelle?
Nein, Cisco hat bestaetigt, dass keine Sicherheitsupdates bereitgestellt werden, da die betroffenen Router-Modelle (RV016, RV042, RV042G, RV082, RV320, RV325) das End-of-Life erreicht haben. Die einzig zuverlaessige Loesung ist der Austausch gegen ein aktuell unterstuetztes Modell.
Wie hoch ist das Risiko, wenn nur lokaler Zugriff auf das Management-Interface besteht?
Wenn das Management-Interface ausschliesslich aus dem lokalen Netzwerk erreichbar ist, sinkt das Risiko erheblich, da ein Angreifer zunaechst Zugang zum internen Netzwerk benoetigt. Dennoch sollten die Geraete zeitnah ersetzt werden, da bereits kompromittierte interne Systeme die Schwachstelle ausnutzen koennten.
Welche Router-Modelle sind betroffen?
Betroffen sind die Cisco Small Business Router RV016, RV042, RV042G, RV082, RV320 und RV325 in allen Firmware-Versionen. Diese Modelle werden nicht mehr mit Sicherheitsupdates versorgt und sollten durch aktuelle Alternativen ersetzt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.