利用身份验证的复杂性绕过错误“非常低”
思科在其RV34X系列小型企业路由器中修补了两个漏洞，这些路由器本可以单独利用或链接在一起以实现未经身份验证的漏洞远程代码执行（RCE）。
身份验证旁路和系统指挥注射漏洞，在RV34X Web管理接口中，既可以beplay体育能用吗允许远程攻击者在受影响的设备上执行任意命令或绕过身份验证和上传文件。
扫描攻击表面
问题是裸露自动分析发现了一些“有希望的”潜在漏洞后，安全公司IoT检查员在后来得到了确认并探索这些漏洞。
物联网检查员董事总经理弗洛里安·卢卡夫斯基（Florian Lukavsky）告诉每日swbeplay2018官网ig。
第一个漏洞 -CVE-2021-1473- 可以允许未经身份验证的远程攻击者在受影响的设备上执行任意命令。
对用户输入的验证不足意味着攻击者可以向受影响的设备发送恶意请求并在基础操作系统上运行任意命令。
阅读更多欧洲刑警组织在SOCTA 2021报告中警告说，恶意软件和网络攻击的激增将继续
同时，旁路文件上传漏洞，CVE-2021-1472，是由受影响设备的会话管理不当引起的。
可以通过向设备发送精心设计的HTTP请求来利用它，并允许未经验证的，远程攻击者绕过身份验证和上传文件到需要管理权限的目录。
这可能包括阅读任何配置设置，包括用户的密码哈希以及更改的能力密码。
内部
卢卡夫斯基说：“如果攻击者可以升级他的当地特权，那么阅读或拦截了通过设备路由的任何流量也将是可能的。”
“漏洞的影响主要取决于路由器的上下文，环境参数以及Web界面的暴露方式。beplay体育能用吗
“如果可以从公共beplay体育能用吗客人访问网络界面网络例如，与仅通过限制的管理网络访问它的潜在影响将更高。”
最初的披露是在今年2月2日进行的，思科确认该问题在2月27日有效。该咨询于4月7日发布。
卢卡夫斯基说：“思科的PSIRT [产品安全事件响应团队]组织得很好，他们遵循既定的脆弱性披露过程。”“在整个披露过程中，我们拥有非常积极和专业的经验。”
卢卡夫斯基说，目前的问题似乎仅限于RV34X系列路由器。
他说：“但是，我们没有大量研究其他问题可能受到此问题的影响。”
“另一方面，我们发现了同一系列中的其他问题以及其他Cisco产品中仍处于修复过程中的其他漏洞。因此，请继续关注更多。”
