CVE-2022-20700

Este aviso agrupa múltiples vulnerabilidades en los routers Cisco Small Business RV160, RV260, RV340 y RV345, y el efecto combinado es tan malo como puede ser: un atacante puede ejecutar código arbitrario, elevar privilegios, ejecutar comandos arbitrarios, saltarse la autenticación y la autorización, cargar y ejecutar software sin firmar, y causar denegación de servicio. Los buffer overflows basados en pila detrás de esto, alcanzables de forma remota sin autenticación y con un scope cambiado, significan que el router —el borde y la puerta de enlace de la red— puede ser tomado por completo desde el exterior.

Los routers de pequeñas empresas son un objetivo perenne de explotación masiva porque dan a internet por función, a menudo funcionan con exposición de administración por defecto u olvidada, y rara vez son parcheados por las pequeñas organizaciones que los poseen. La RCE no autenticada en la puerta de enlace es exactamente lo que buscan las botnets y los corredores de acceso: un router de borde comprometido rinde interceptación de tráfico, persistencia fuera del alcance de las herramientas de seguridad de host, y un pivote hacia todo lo que hay detrás. La capacidad de cargar software sin firmar es especialmente grave, ya que habilita implantes duraderos a nivel de firmware.

Nuestro enfoque es el triaje de accesibilidad desde internet primero, porque estos dispositivos viven en el perímetro. Inventariaríamos cualquier RV160/RV260/RV340/RV345 en alcance y determinaríamos de inmediato si su administración web está expuesta a internet, restringiéndola y aplicando el firmware corregido de Cisco como acción prioritaria. Dado el calibre del fallo y la clase de objetivo, clasificaríamos las unidades expuestas en el primerísimo puesto y, como los dispositivos de borde son comprometidos temprano y de forma silenciosa, buscaríamos señales de manipulación en lugar de asumir que un parche limpio es el final.