CVE-2022-20699
Mehrere Schwachstellen in den Cisco Small Business RV160, RV260, RV340 und RV345 Serien-Routern könnten es einem Angreifer ermöglichen, e… (CVE-2022-20699)
Beschreibung
Mehrere Schwachstellen in den Cisco Small Business RV160, RV260, RV340 und RV345 Serien-Routern könnten es einem Angreifer ermöglichen, eine der folgenden Aktionen auszuführen: Ausführung beliebigen Codes Erhöhung von Berechtigungen Ausführen beliebiger Befehle Umgehen von Authentifizierungs- und Autorisierungsschutzmaßnahmen Abrufen und Ausführen nicht signierter Software Verursachen eines Denial-of-Service (DoS) Angriffs. Weitere Informationen zu diesen Schwachstellen finden Sie im Details-Abschnitt dieser Sicherheitsmitteilung.
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
CVE-2022-20699 trägt einen CVSS-v3-Score von 10.0 (AV:N/AC:L/PR:N/UI:N) und liegt im EPSS-Perzentil 99,4 % — das bedeutet, dass nahezu alle vergleichbaren Schwachstellen ein geringeres Ausnutzungsrisiko aufweisen. Der Stack-basierte Buffer Overflow im SSL-VPN-Dienst ist ohne Authentifizierung aus dem Internet ausnutzbar und ermöglicht Remote Code Execution mit potenziell vollständiger Gerätekompromittierung, einschließlich des Nachladens unsignierter Firmware. Für KRITIS-Organisationen und NIS2-pflichtige Betreiber, die Cisco RV340/RV345 als VPN-Gateway oder Perimeter-Router einsetzen, ist das Risiko besonders hoch, da eine erfolgreiche Kompromittierung den vollständigen Netzwerkzugang für Angreifer öffnet. Der CISA-KEV-Eintrag vom 03.03.2022 belegt aktive Ausnutzung; der kev_known_ransomware-Flag ist nicht gesetzt, schließt jedoch Ransomware-Folgeangriffe nach initialer Kompromittierung nicht aus. Patch-Deployment hat absolute Priorität — Geräte mit Internet-exponiertem Management-Interface sind als kompromittiert zu behandeln, bis das Gegenteil bewiesen ist.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- Patch einspielen (höchste Priorität): Cisco hat Firmware-Updates für alle betroffenen Geräte veröffentlicht. Betroffene Firmware-Versionen ≤ 1.0.03.24 auf RV340, RV340W, RV345, RV345P sofort auf die im Cisco Security Advisory cisco-sa-smb-mult-vuln-KA9PkEcx genannte Zielversion aktualisieren. Versionsstand im Vendor-Advisory verifizieren.
- Management-Interface vom Internet trennen: Das Web-Management-Interface (TCP 443 / TCP 8443) darf unter keinen Umständen aus dem Internet erreichbar sein. Firewall-Regeln oder ACLs sofort prüfen und ggf. sperren.
- SSL-VPN-Endpunkt isolieren: CVE-2022-20699 betrifft den SSL-VPN-Dienst. Ist ein Patch nicht sofort möglich, den SSL-VPN-Dienst auf dem Gerät deaktivieren (Administration → VPN → SSL VPN → Disable) und Nutzer auf eine alternative VPN-Lösung umleiten.
- Aktive Sessions prüfen und beenden: Alle aktiven Administrator- und VPN-Sessions auf den betroffenen Geräten sofort terminieren; Passwörter für lokale Admin-Konten rotieren.
- Netzwerksegmentierung prüfen: Sicherstellen, dass die betroffenen Router nicht direkt mit kritischen internen Segmenten (OT-Netz, Servernetz, Domain-Controller) verbunden sind — ggf. zusätzliche Firewall-Regel zwischen WAN-seitigem Router und internem Core-Switch setzen.
- Logging aktivieren und sichern: Syslog-Weiterleitung auf den betroffenen Geräten aktivieren (falls noch nicht geschehen) und Logs in ein zentrales SIEM exportieren, bevor ein kompromittiertes Gerät neu gestartet oder zurückgesetzt wird.
Runbook · Schritt 2
Mitigation-Layer
- Netzwerkebene — ACL/Firewall: Eingehenden Datenverkehr auf TCP 443 und TCP 8443 zum Management-Interface auf dedizierte Management-IP-Adressen (Jump-Host, Out-of-Band-Netz) beschränken; alle anderen Quell-IPs blockieren.
- IPS/IDS-Signatur: Suricata/Snort-Regel auf überlange HTTP-POST-Anfragen an
/cgi-bin/oder/webui/des Routers aufsetzen — Stack-Buffer-Overflows äußern sich typischerweise in anomal großen Payload-Feldern. Beispiel-Muster:alert tcp any any -> $ROUTER_IP [443,8443] (msg:"CVE-2022-20699 BoF attempt"; content:"POST"; http_method; content:"/cgi-bin/"; http_uri; dsize:>4096; sid:9022069; rev:1;) - Least-Privilege / IAM: Remote-Management-Zugang auf Read-only-Konten beschränken, bis der Patch eingespielt ist; SNMP v1/v2c deaktivieren und auf SNMPv3 mit Auth+Priv umstellen.
- Unsigned-Software-Schutz: Cisco-Feature „Secure Boot" und Firmware-Integritätsprüfung (sofern vom Modell unterstützt) aktivieren, um das Nachladen unsignierter Firmware zu erschweren.
- Out-of-Band-Management: Konfigurationsänderungen ausschließlich über ein dediziertes Out-of-Band-Management-VLAN durchführen; In-Band-Management über das Produktionsnetz deaktivieren.
Runbook · Schritt 3
Detection-Regeln
- Web-Server-Zugriffslog (Router-Syslog): Anomal große POST-Requests (Content-Length > 4096 Byte) an
/cgi-bin/oder/webui/von externen IP-Adressen — SPL-Snippet:index=network_devices sourcetype=cisco_rv* method=POST uri_path="/cgi-bin/*" bytes_in>4096 | stats count by src_ip, uri_path - Netzwerk-Telemetrie (Zeek/Suricata): Verbindungsaufbau von unbekannten externen IPs zu TCP 443/8443 auf Router-Management-IPs, gefolgt von ausgehenden Verbindungen des Routers zu externen IPs (Reverse-Shell-Indikator) — Zeek-Conn-Log:
resp_p=443 AND orig_bytes>4096 AND duration<5kombiniert mit nachfolgendemorig_h=$ROUTER_IP AND resp_p NOT IN [80,443,53]. - Sysmon / EDR (nachgelagerte Systeme): Neue Prozesse oder Netzwerkverbindungen, die von Systemen im internen Netz ausgehen und als Gateway den betroffenen Router nutzen — ungewöhnliche Parent-Child-Prozessketten auf Hosts, die kurz nach einer Router-Anomalie auffällig werden.
- Sigma-Regel (SIEM-agnostisch):
title: CVE-2022-20699 Cisco RV BoF Exploitation Attempt logsource: category: webserver product: cisco_rv_series detection: selection: cs-method: POST cs-uri-stem|contains: '/cgi-bin/' sc-bytes|gt: 4096 condition: selection level: high - Firmware-Integritätsalarm: Jede Änderung der Firmware-Version auf einem Cisco RV-Gerät außerhalb eines geplanten Wartungsfensters als kritisches Ereignis im SIEM behandeln (Konfigurationsmanagement-Datenbank / CMDB-Abgleich).
Metriken
Weakness-Klassen (CWE)
CWE-121Variant
Stack-based Buffer Overflow
A stack-based buffer overflow condition is a condition where the buffer being overwritten is allocated on the stack (i.e., is a local variable or, rarely, a parameter to a function).
cwe.mitre.org →
Betroffene Betriebssysteme
other
cisco / rv340_firmware
other
cisco / rv340w_firmware
other
cisco / rv345_firmware
other
cisco / rv345p_firmware
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.
Quellen & Referenzen
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smb-mult-vuln-KA9PK6Dvendor-advisoryx_refsource_CISCO
- https://www.zerodayinitiative.com/advisories/ZDI-22-414/x_refsource_MISC
- http://packetstormsecurity.com/files/167113/Cisco-RV340-SSL-VPN-Unauthenticated-Remote-Code-Execution.htmlx_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-20699government-resource