思科VPN路由器中报告的关键缺陷
Cisco已针对小型企业路由器基于web的管理界面中的多个关键漏洞推出了修复程序，这些漏洞可能允许未经验证的远程攻击者以受影响设备的根用户身份执行任意代码。
缺陷—；从CVE-2021-1289到CVE-2021-1295（CVSS得分9.8）和#8212；影响RV160、RV160W、RV260、RV260P和RV260W VPN路由器，这些路由器运行的固件版本早于1.0.01.02版。
除了上述三个漏洞外，还发布了另外两个任意文件写入缺陷（CVE-2021-1296和CVE-2021-1297）的修补程序，这两个漏洞会影响同一组VPN路由器，使对手有可能覆盖易受攻击系统上的任意文件。
这九个安全问题都是由安全研究员Takeshi Shiomitsu向网络设备制造商报告的，他之前发现了RV110W、RV130W和RV215W路由器中类似的关键缺陷，这些缺陷可能被用于远程代码执行（RCE）攻击。
While exact specifics of the vulnerabilities are still unclear, Cisco said the flaws —
- CVE-2021-1289、CVE-2021-1290、CVE-2021-1291、CVE-2021-1292、CVE-2021-1293、CVE-2021-1294和CVE-2021-1295是对HTTP请求进行不正确验证的结果，允许攻击者向基于web的管理界面精心编制HTTP请求并实现RCE。
- CVE-2021-1296和CVE-2021-1297是由于输入验证不足，允许攻击者利用这些缺陷，使用基于web的管理界面将文件上载到他们不应该访问的位置。
另外，小企业RV016、RV042、RV042G、RV082、RV320和RV325路由器的基于网络的管理界面中的另一组五个故障（CVE-2021-1314到CVE-2021-1318）可能使攻击者能够在路由器上注入任意命令，这些命令是以root权限执行的。
最后，Cisco还解决了另外30个影响同一系列产品的漏洞（CVE-2021-1319至CVE-2021-1348），这些漏洞可能允许经过身份验证的远程攻击者执行任意代码，甚至造成拒绝服务情况。
"To exploit these vulnerabilities, an attacker would need to have valid administrator credentials on the affected device," Cisco said in an advisory published on February 3.
中国科学院信息工程研究所（Institute of Information Engineering，隶属于中国科学院）的程凯（Kai Cheng）报告了路由器管理接口的35个缺陷。
该公司还指出，没有证据表明有人在野外积极利用这些漏洞，也没有任何解决漏洞的方法。
