缺陷参考ID

CSCvm78058

确定日期

2018年10月5日

解决日期

2019年1月22日

受影响的产品

型号

固件版本

固定于

RV320

1.4.2.15

1.4.2.20

RV325

1.4.2.15

1.4.2.20

问题说明

思科S系列RV320和RV325双千兆位WAN VPN路由器基于Web的管理界面中存在一个漏洞，使得对受影响设备具有管理权限的用户能够执行任意命令。

此漏洞是由于用户提供的输入验证不正确所致。攻击者可通过向受影响设备的基于Web的管理界面发送恶意HTTP POST请求来利用此漏洞。成功利用此漏洞可让攻击者以root身份在基础Linux外壳上执行任意命令。

分辨率

思科在RV320和RV325 Dual Gigabit WAN VPN路由器固件版本1.4.2.20及更高版本中修复了此漏洞。

客户可以从产品页面下载固件： RV320 和 RV325 或 软件中心 在Cisco.com上。以下说明将向您展示如何使用产品页面下载固件版本1.4.2.20。

步骤1.打开 RV320 或 RV325 产品页.

注意： 在本例中，我们将使用Cisco RV325 Dual Gigabit WAN VPN路由器产品页面。

步骤2.向下滚动页面。该链接应会自动将您带到“下载”选项卡。如果链接未显示“Downloads（下载）”选项卡，请按“Documentation and Communities（文档和社区）”选项卡旁边的Downloads（下载）选项卡。

步骤3.单击固件版本1.4.2.20旁的Downloads按钮。固件版本1.4.2.20应会自动开始下载。

注意： 系统将显示通知，“通过下载此文件，您确认您已阅读并同意受 思科最终用户许可协议.”

步骤4.固件将下载到计算机上的Downloads文件夹。

步骤5.有关如何在RV320和RV325 Dual Gigabit WAN VPN路由器上升级固件版本的说明，请点击链接查看文章： RV320和RV325 VPN路由器系列的固件管理。

要处理升级，请点击 这里 联系思科S系列支持中心(SBSC)。