Multiples vulnérabilités critiques dans des produits Cisco

Date de publication :

CVE-2022-20842[Score CVSS v3.1:9.8] (critique)
Un contrôle insuffisant des données utilisateurs dans l’interface de gestion web permet à un attaquant distant et non authentifié, en envoyant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système avec les privilèges les plus élevés ou de provoquer un déni de service.

CVE-2022-20827[Score CVSS v3.1: 9.0] (critique)
Un contrôle insuffisant des données dans le service de mise à jour de la base de données du filtrage web permet à un attaquant distant et non authentifié, en envoyant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système avec les privilèges les plus élevés.

CVE-2022-20841[Score CVSS v3.1: 8.3]
Un contrôle insuffisant des données utilisateurs dans le module « Open Plug and Play » permet à un attaquant, en utilisant une attaque de l’homme du milieu pour envoyer des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Élévation de privilèges
  • Déni de service

Criticité

  • Score CVSS v3.1: 9.8 max (critique)  

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées.

Un correctif existe

  • Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer

CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')

Détails sur l’exploitation

Pour la CVE-2022-20842

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-20827

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Élevée.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-20841

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Élevée.
  • Privilèges nécessaires pour réaliser l’attaque : Non.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour les CVE-2022-20827 et CVE-2022-20841

  • Cisco RV160 et RV260 Series Routers versions comprises entre 1.0.01.05 et 1.0.01.08
  • Cisco RV340 et RV345 Series Routers versions 1.0.03.26 et 1.0.03.27

Pour la CVE-2022-20842

  • Cisco RV340 et RV345 Series Routers versions inférieures à 1.0.03.26 et 1.0.03.27

Solutions ou recommandations

Pour l’ensemble des CVE présentées

  • Mettre à jour Cisco RV160 et RV260 Series Routers à la version 1.0.01.09 ou à une version supérieure
  • Mettre à jour Cisco RV340 et RV345 Series Routers à la version 1.0.03.28 ou à une version supérieure

Liens