רוב הדפים כאן נגמרים בהמלצה לעדכן. הדף הזה לא יכול. סיסקו הודיעה במפורש שלא שחררה, ולא תשחרר, עדכון תוכנה שסוגר את החולשה הזאת בנתבי ה-RV הישנים שלה. זאת למרות שהחולשה מנוצלת בשטח.
מה החולשה?
החולשה יושבת בממשק הניהול המבוסס אינטרנט של הנתב, אותו עמוד שנכנסים אליו מהדפדפן כדי להגדיר את המכשיר. הממשק מקבל בקשות HTTP ואינו מאמת כראוי את הקלט שבתוכן. תוקף ששולח בקשה בנויה במיוחד גורם לנתב להריץ פקודות שהוא הכתיב, בהרשאות root, כלומר בהרשאות הגבוהות ביותר במכשיר.
מי ששולט בנתב שולט בתעבורה שעוברת דרכו. הוא יכול לקרוא אותה, להסיט אותה, ולהשתמש במכשיר עצמו כנקודת אחיזה בתוך הרשת.
יש כאן תנאי אחד שמצמצם את התמונה, וכדאי לומר אותו בכנות. לפי התיאור הרשמי, כדי לנצל את החולשה התוקף צריך פרטי אימות תקפים של מנהל על המכשיר. זה מה שמוריד את הציון ל-6.5 והופך את החולשה מדלת פתוחה למנוף. אלא שבנתבים מהסוג הזה, שהותקנו לפני שנים במשרדים קטנים, סיסמת מנהל שנשארה כפי שהגיעה מהקופסה אינה מקרה נדיר.
מי מושפע?
הדגמים ברשימה הם נתבי Cisco Small Business מסדרות RV016, RV042, RV042G, RV082, RV320 ו-RV325.
אלה מכשירים שנמכרו לעסקים קטנים ולמשרדים ביתיים, והם ותיקים. בישראל עדיין אפשר למצוא אותם במשרדים, בקליניקות ובעסקים קטנים שהתקינו תשתית פעם ולא נגעו בה מאז. אם אינכם יודעים איזה נתב עומד אצלכם בארון התקשורת, זה בדיוק המקרה שבו שווה ללכת להסתכל.
מי שאינו מפעיל אחד מהדגמים האלה אינו מושפע. זו חולשה של חומרה מסוימת, לא של תוכנה נפוצה.
האם מנוצלת בפועל?
כן. ב-3 במרץ 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים מנצלים בשטח, עם מועד יעד לתיקון בגופים הפדרליים ב-24 במרץ 2025. הרשומה הפומבית עליה נפתחה הרבה קודם, באפריל 2023.
השילוב כאן הוא הבעייתי: חולשה שמנוצלת בפועל, במכשירים שלא יקבלו תיקון. מצב כזה לא נפתר בהמתנה.
מה עושים?
הצעד שהיצרן מציע הוא לכבות את התכונה הפגיעה. סיסקו מציינת בהודעתה שאף שלא יהיה עדכון, מנהלים יכולים להשבית את הרכיב המושפע, והפרטים המדויקים נמצאים בסעיף המעקפים באותה הודעה, המקושרת במידע הטכני למטה. זה מה שיש לעשות היום.
מעבר לזה, ומכיוון שהניצול דורש פרטי אימות של מנהל, החליפו את סיסמת המנהל של הנתב לסיסמה ארוכה וייחודית אם היא מעולם לא הוחלפה, וודאו שממשק הניהול אינו נגיש מהאינטרנט אלא רק מהרשת הפנימית.
אבל התשובה הכנה לשאלה מה עושים היא להחליף את המכשיר. נתב שהיצרן שלו הצהיר שלא יתקן בו חולשה שמנוצלת בשטח לא יקבל תיקון גם לחולשה הבאה. תכננו החלפה לדגם נתמך, והתייחסו למעקף ולסיסמה כאל גשר עד שזה קורה, לא כאל פתרון.