Intel

CVE-2018-0125

Cisco VPN Routers — Cisco VPN Routers Remote Code Execution Vulnerability

criticalKEV: aktiv ausgenutztPoCEPSS 55 %

Beschreibung

Eine Schwachstelle in der Web-Oberfläche der Cisco RV132W ADSL2+ Wireless-N VPN und RV134W VDSL2 Wireless-AC VPN-Router könnte es einem unauthentifizierten, entfernten Angreifer ermöglichen, beliebigen Code auszuführen und die vollständige Kontrolle über ein betroffenes System zu erlangen, einschließlich der Ausführung von Befehlen mit Root-Rechten. Der Angreifer könnte auch dazu führen, dass das betroffene System neu geladen wird, was zu einer Denial-of-Service (DoS)-Bedingung führt. Die Schwachstelle ist auf eine unvollständige Eingabevalidierung von benutzerkontrollierten Eingaben in einer HTTP-Anfrage an das Zielgerät zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine manipulierte HTTP-Anfrage an ein betroffenes System sendet. Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, beliebigen Code als Root-Benutzer auszuführen und die vollständige Kontrolle über das betroffene System zu erlangen oder es zum Neuladen zu zwingen, was zu einer DoS-Bedingung führt. Diese Schwachstelle wird in der Firmware-Version 1.0.1.11 für die folgenden Cisco-Produkte behoben: RV132W ADSL2+ Wireless-N VPN Router und RV134W VDSL2 Wireless-AC VPN Router. Cisco Bug IDs: CSCvg92737, CSCvh60170.

Quelle: CISA_KEVNVDCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2018-0125 erhält einen CVSS-v3-Score von 9.8 (AV:N/AC:L/PR:N/UI:N) und liegt im EPSS-Perzentil 99 — das bedeutet, dass automatisierte Exploit-Werkzeuge für diese Schwachstelle nachweislich im Umlauf sind und die Ausnutzungswahrscheinlichkeit extrem hoch ist. Die Schwachstelle ermöglicht unauthentifizierte Remote-Code-Ausführung mit Root-Rechten über das HTTP-Webinterface, ohne dass Nutzerinteraktion erforderlich ist. Besonders gefährdet sind KRITIS-Organisationen und KMU, die Cisco RV132W oder RV134W als VPN-Gateway direkt am Internet-Perimeter betreiben — ein kompromittiertes Gerät gibt Angreifern vollständigen Netzwerkzugang und ermöglicht die Pivotierung in interne Segmente. CISA hat keinen Ransomware-Kampagnenbezug vermerkt, jedoch rechtfertigt der Schweregrad in Kombination mit dem hohen EPSS-Wert eine sofortige Patch-Priorisierung vor allen anderen Routineaufgaben.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Firmware-Update sofort einspielen: Cisco RV132W und RV134W auf Firmware-Version 1.0.1.11 aktualisieren (Cisco Bug IDs: CSCvg92737, CSCvh60170). Patch-Paket im Cisco Software Center unter den jeweiligen Produktseiten beziehen.
  • Web-Interface deaktivieren oder auf Management-VLAN beschränken: Solange das Update nicht eingespielt ist, den HTTP/HTTPS-Zugang zum Router-Webinterface (Standard-Ports 80/443) auf vertrauenswürdige Management-Hosts limitieren oder vollständig deaktivieren.
  • Exponierte Geräte identifizieren: Alle RV132W- und RV134W-Instanzen im Netzwerk inventarisieren — insbesondere solche mit direkt aus dem Internet erreichbarem Webinterface (Shodan-Abfrage: product:"Cisco RV132W" OR product:"Cisco RV134W").
  • Gerät vom Internet trennen, falls kein sofortiges Patchen möglich ist und das Webinterface extern erreichbar ist. Betrieb über Out-of-Band-Management sicherstellen.
  • Logs sichern: Aktuelle Systemlogs und HTTP-Zugriffsprotokolle des Routers vor dem Update sichern, um mögliche Kompromittierungsspuren zu erhalten.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: Webinterface-Zugriff (TCP 80/443) ausschliesslich aus einem dedizierten Management-VLAN erlauben; ACLs auf vorgelagerten Firewalls oder Layer-3-Switches setzen, die jeglichen Zugriff aus dem Internet oder aus Produktions-VLANs blockieren.
  • IPS/IDS-Signatur aktivieren: Snort/Suricata-Regel für anomale HTTP-Requests an die Cisco-RV-Weboberfläche einsetzen — insbesondere auf überlange oder binäre Nutzdaten in POST-Requests an /cgi-bin/-Endpunkte achten (Muster: alert http any any -> $HOME_NET [80,443] (msg:"CVE-2018-0125 exploit attempt"; content:"POST"; http_method; content:"/cgi-bin/"; http_uri; detection_filter:track by_src, count 5, seconds 60; sid:2018125; rev:1;)).
  • WAF-Regel: Wenn ein vorgelagerter Reverse-Proxy oder eine WAF vorhanden ist, HTTP-Requests mit ungewöhnlich grossen Body-Payloads (>8 KB) an das Gerät blockieren oder zur Inspektion weiterleiten.
  • Least-Privilege / Remote-Management: SSH-basiertes Management bevorzugen, falls verfügbar; HTTP-Management dauerhaft deaktivieren und nur HTTPS mit starker TLS-Konfiguration zulassen.
  • Geräte-Monitoring: SNMP-Traps oder Syslog-Weiterleitung vom Router aktivieren, damit unerwartete Neustarts (DoS-Indikator) sofort im SIEM sichtbar werden.

Runbook · Schritt 3

Detection-Regeln

  • Netzwerk-Telemetrie (Zeek/Suricata): Anomale HTTP-POST-Requests an die Management-IP des Routers auf Port 80/443 mit ungewöhnlichem Content-Type oder binären Nutzdaten — insbesondere Requests an /cgi-bin/-Pfade von externen Quell-IPs.
  • Syslog vom Router: Unerwartete Neustarts oder Kernel-Panic-Meldungen im Syslog des Geräts deuten auf DoS-Ausnutzung hin; Muster: %SYS-2-RELOAD oder kernel panic in der Syslog-Ausgabe.
  • Firewall-Logs: Mehrfache HTTP-Verbindungsversuche von derselben externen IP an Port 80/443 des Routers innerhalb kurzer Zeit (Brute-Force-/Exploit-Scanning-Muster) — SPL-Snippet: index=firewall dest_port IN (80,443) dest=<router_ip> | stats count by src_ip | where count > 20.
  • Sigma-Regel (Netzwerk): Sigma-Shape für Zeek-HTTP-Logs: selection: cs-uri-stem|contains: '/cgi-bin/' AND cs-method: 'POST' AND c-ip|not_in: <management_whitelist> — Alert bei Treffern ausserhalb der Whitelist.
  • Verfügbarkeits-Monitoring: Ping/ICMP-Monitoring auf den Router; plötzlicher Ausfall nach HTTP-Aktivität ist ein starkes Indiz für DoS-Ausnutzung oder erfolgreichen Exploit mit anschliessendem Neustart.

Metriken

Severity
critical
Priority-Score
209.52
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
9.8
Quelle: nvd-v3
CVSS v3
9.8
CVSS v4
—
EPSS-Perzentil
99.0 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
55.2 %
Hoch — Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
Veröffentlicht
2022-03-25 00:00 UTC
CWE
CWE-20

Weakness-Klassen (CWE)

  • CWE-20Class

    Improper Input Validation

    The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly.

    cwe.mitre.org →

Betroffene Betriebssysteme

  • other

    cisco / rv132w_firmware1.0

  • other

    cisco / rv134w_firmware1.0

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

IDCVE-2018-0125
Cisco VPN Routers — Cisco VPN Routers Remote Code Execution Vulnerability — CVE-2018-0125 | NEOSEC Intel