Уязвимость в функциональности аутентификации IPSec VPN Server маршрутизаторов Cisco Small Business RV110W, RV130, RV130W и RV215W может поз…
Уязвимость в функциональности аутентификации IPSec VPN Server маршрутизаторов Cisco Small Business RV110W, RV130, RV130W и RV215W может позволить не прошедшему аутентификацию удаленному злоумышленнику обойти средства управления аутентификацией и получить доступ к сети IPSec VPN. Эта уязвимость связана с неправильной реализацией алгоритма проверки пароля. Злоумышленник может воспользоваться этой уязвимостью, войдя в VPN с затронутого устройства с помощью специально созданных учетных данных. Успешная эксплуатация может позволить злоумышленнику обойти аутентификацию и получить доступ к сети IPSec VPN. Злоумышленник может получить привилегии того же уровня, что и у пользователя с правами администратора, в зависимости от используемых учетных данных. Cisco не выпустила обновления программного обеспечения, устраняющие эту уязвимость.
Требования к продукту предписывают использование установленного алгоритма аутентификации, однако его реализация выполнена некорректно.
https://cwe.mitre.org/data/definitions/303.html →Открыть в коллекции CWE →Злоумышленник может злоупотребить протоколом аутентификации, уязвимым к атаке-отражению, для его обхода. Это позволяет злоумышленнику получить нелегитимный доступ к целевой системе без наличия требуемых учётных данных. Атаки-отражения представляют серьёзную угрозу для протоколов аутентификации, основанных на механизме запрос-ответ или аналогичном. Злоумышленник может выдавать себя за легитимного пользователя и, успешно проведя атаку-отражение в ходе аутентификации, получить нелегитимный доступ к системе.
https://capec.mitre.org/data/definitions/90.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| rv110w_firmware | * | Отслеживается |
| rv130_firmware | * | Отслеживается |
| rv130w_firmware | * | Отслеживается |
| rv215w_firmware | * | Отслеживается |