思科小型企业路由器中的一个高影响漏洞可能允许“耐心和适当定位的攻击者”在受影响的设备上获得未经身份验证的远程代码执行。该漏洞是由Onekey前身为IoT Inspector）的研究人员发现的，他们发现Cisco RV160、RV260、RV340和RV345系列路由器中不正确的输入验证可能允许远程攻击者在系统上执行任意命令。“通过向Web过滤器数据库更新功能发送特制输入，攻击者可以利用此漏洞以root权限在底层操作系统上执行任意命令，”该团队在本周的一篇技术博客文章中表示。

Cisco 路由器漏洞被跟踪为CVE-2022-20827，CVSS得分为9.0，与设备捆绑的BrightCloud Web过滤功能中的一个缺陷有关。

研究人员在寻找漏洞以为Pwn2Own 2021实时黑客活动制作利用链时发现了该漏洞。

“遗憾的是，易受攻击的路径每天只能到达一次，因此它不符合Pwn2Own规则，”他们说。

尽管有时间限制，Onekey表示企业仍应尽快实施修复。“我们知道现实世界的攻击者可以有耐心，并且会毫不犹豫地等待你，所以修补你的路由器，”他们说。

在随附的安全公告中，思科发布了易受攻击的路由器固件版本列表和相关补丁指南。

顺便说一句，该公告指出CVE-222-20827 “依赖”于另一个缺陷CVE-2022-20841。

然而，尽管注意到漏洞利用的相似之处，Onekey研究员Quentin Kaiser说，一个CVE并不依赖于另一个。

“我没有看到这两个漏洞之间的'依赖'，”Kaiser说。“它们的相似之处在于它们都利用了缺乏针对中间人攻击的保护，但它们针对不同的组件。”