Cisco alerta sobre vulnerabilidade em routers descontinuados para pequenas empresas

A Cisco emitiu um alerta sobre uma vulnerabilidade de cross-site scripting (XSS) em routers de pequenas empresas da série RV no fim do ciclo de vida. A empresa adiantou que não lançará patches de segurança para esta falha.

Com o código de rastreio CVE-2024-20362, a vulnerabilidade é explorável remotamente sem autenticação e afeta os routers RV016, RV042, RV042G, RV082, RV320 e RV325, destinados a pequenas empresas, que foram descontinuados e, por isso, já não recebem patches.

A empresa diz que não está ciente da exploração do bug em questão, mas sabe-se que dispositivos da rede Cisco descontinuados foram alvo de exploração em ataques. Não existem soluções alternativas para esta vulnerabilidade, sendo os utilizadores aconselhados a migrar para um produto compatível.

Segundo a Cisco, a falha deve-se à validação insuficiente na interface web dos produtos afetados. Desta forma, os invasores conseguem realizar ataques XSS ao convencer os utilizadores a visitar uma página maliciosa, podendo levar à execução de scripts ou divulgação de informações.

A par disto, o fornecedor de cibersegurança anunciou o lançamento de patches para um conjunto de outras vulnerabilidades no seu portfólio de produtos, incluindo um bug de alta gravidade no Nexus Dashboard Fabric Controller (NDFC) que pode possibilitar que invasores remotos não autenticados leiam ficheiros arbitrários.

Seguido como CVE-2024-20348, o bug tem por base um servidor web de provisionamento não autenticado que pode receber solicitações diretas de um cibercrimoso remoto. Isto permite aos invasores ler ficheiros confidenciais no container Plug and Play (PnP), abrindo a porta para novos ataques na infraestrutura PnP.

Esta vulnerabilidade afeta a versão 12.1.3b do NDFC com uma configuração padrão, sendo que as versões anteriores 12.1.2 e 12.2.1 não são impactadas.

A Cisco lançou ainda patches para diversos bugs de gravidade média no TelePresence Management Suite, Nexus Dashboard, Nexus Dashboard Orchestrator, Identity Services Engine (ISE), Enterprise Chat e Email, Unified Communications Manager IM & Presence Service e Emergency Responder. A empresa afirma não ter conhecimento da exploração destas falhas em ataques.