RV320/RV325:思科S系列路由器命令注入漏洞
缺陷参考ID
CSCvm78058
确定日期
2018年10月5日
解决日期
2019年1月22日
受影响的产品
| 型号 | 固件版本 | 固定于 |
| RV320 | 1.4.2.15 | 1.4.2.20 |
| RV325 | 1.4.2.15 | 1.4.2.20 |
问题说明
思科S系列RV320和RV325双千兆位WAN VPN路由器基于Web的管理界面中存在一个漏洞，使得对受影响设备具有管理权限的用户能够执行任意命令。
此漏洞是由于用户提供的输入验证不正确所致。攻击者可通过向受影响设备的基于Web的管理界面发送恶意HTTP POST请求来利用此漏洞。成功利用此漏洞可让攻击者以root身份在基础Linux外壳上执行任意命令。
分辨率
思科在RV320和RV325 Dual Gigabit WAN VPN路由器固件版本1.4.2.20及更高版本中修复了此漏洞。
客户可以从产品页面下载固件： RV320 和 RV325 或 软件中心 在Cisco.com上。以下说明将向您展示如何使用产品页面下载固件版本1.4.2.20。
注意： 在本例中，我们将使用Cisco RV325 Dual Gigabit WAN VPN路由器产品页面。
步骤2.向下滚动页面。该链接应会自动将您带到“下载”选项卡。如果链接未显示“Downloads（下载）”选项卡，请按“Documentation and Communities（文档和社区）”选项卡旁边的Downloads（下载）选项卡。
步骤3.单击固件版本1.4.2.20旁的Downloads按钮。固件版本1.4.2.20应会自动开始下载。
注意： 系统将显示通知，“通过下载此文件，您确认您已阅读并同意受 思科最终用户许可协议.”
步骤4.固件将下载到计算机上的Downloads文件夹。
步骤5.有关如何在RV320和RV325 Dual Gigabit WAN VPN路由器上升级固件版本的说明，请点击链接查看文章： RV320和RV325 VPN路由器系列的固件管理。
要处理升级，请点击 这里 联系思科S系列支持中心(SBSC)。
反馈