一、概述

近日，安天微電子與嵌入式安全研發部（安天微嵌）對網絡安全公司RedTeam Pentesting GmbH披露的編號為CVE-2019-1652和CVE-2019-1653的兩個漏洞進行了詳細分析和驗證。該組漏洞主要對Cisco RV320和RV325兩款雙千兆WAN VPN路由器造成影響，兩個漏洞結合利用可以達到允許未經身份授權的遠程攻擊者執行任意命令的目的。對此，安天微嵌分析小組驗證了該漏洞的原理及POC，對該漏洞的影響范圍進行了確認，并給出了相應的防護建議。

二、漏洞影響

Cisco RV320、RV325兩款路由器支持通過局域網和遠程連接訪問WEB管理頁面，開啟服務后可通過互聯網訪問WEB管理頁面。由于路由器的WEB管理頁面能夠完成路由器各項功能的可視化管理和配置，對設備具有較高的控制權，所以其與路由器設備本身的安全緊密相關。

經分析驗證，此次被披露的兩個漏洞分別是由于Cisco RV320、RV325路由器的WEB管理頁面訪問控制驗證規則不完善 （CVE-2019-1653）和用戶訪問WEB管理頁面時提供的輸入憑證不當（CVE-2019-1652）造成的。

根據網絡安全公司Bad packet公布的資料顯示，其在全球范圍內發現了9657臺受CVE-2019-1652、CVE-2019-1653漏洞影響的Cisco路由器（6247臺RV320和3410臺RV325），其中大部分位于美國，中國大陸存在47臺受到該漏洞影響的設備。同時他們的蜜罐系統捕獲到了大量針對RV320和RV325路由器的掃描活動，這表明攻擊者正在積極利用漏洞來劫持受影響的Cisco路由器。受漏洞影響的Cisco路由器全球分布情況如圖2-1和表2-1所示。

三、漏洞原理

安天微嵌分析小組使用Cisco RV320 Gigabit Dual WAN VPN Router和DELL OPTIPLEX PC機作為驗證環境。設備連接示意圖如圖3-1所示。將Cisco RV320路由器任意LAN口與DELL PC機網口直接相連，同時將Cisco RV320路由器和DELL PC機設置為同一個網段。

該漏洞POC文件將測試未經身份授權檢索敏感信息漏洞 （CVE-2019-1653）和命令注入執行漏洞（CVE-2019-1652）代碼整合在一起完成未經授權的遠程代碼執行操作。通過漏洞CVE-2019-1653完成路由器用戶名、口令的捕獲，隨后結合CVE-2019-1652完成在Cisco RV320、RV325小型商用路由器上執行任意命令的目的。

安天微嵌分析小組在分析POC文件代碼過程中發現，POC的執行過程可以分為兩個部分，其中未經授權檢索敏感信息漏洞相關的函數代碼片段如圖3-2；命令注入執行漏洞相關的函數代碼片段如圖3-3所示。

通過對圖3-2、圖3-3代碼片段的分析，可以確定未經授權的遠程代碼執行漏洞的利用方式。該POC原理是未經身份授權的遠程攻擊者可以利用漏洞（CVE-2019-1653）從受影響的設備處獲取敏感信息，該漏洞（CVE-2019-1653）是由于URL訪問控制驗證規則不完善造成的。遠程攻擊者可以利用這個漏洞，通過HTTP或HTTPS連接到受影響的設備，并請求特定的URL，讓遠程攻擊者下載路由器配置或詳細的登錄信息。獲得登錄信息之后基于WEB管理界面發送惡意HTTP協議POST的方法，利用命令注入POST方法執行漏洞（CVE-2019-1652） 獲得root用戶權限，在受影響的設備上執行任意命令，該漏洞（CVE-2019-1652）是由于用戶在使用POST方法提交參數時，規則驗證不完善所造成的惡意命令執行漏洞。

四、POC執行驗證

安天微嵌分析小組使用Cisco RV320設備搭建了驗證環境，結合上述的分析過程對公開的POC進行了驗證。

4.1 獲取目標設備信息

該POC綜合利用未經身份授權檢索敏感信息漏洞 （CVE-2019-1653）和遠程代碼命令注入執行漏洞（CVE-2019-1652），通過POC的運行獲取目標設備的用戶名、用戶登錄口令的HASH值、加權值等信息。

通過獲取目標設備的用戶名、用戶登錄口令的HASH值、加權值，利用命令注入執行漏洞（CVE-2019-1652）啟動Telnet服務，與被攻擊設備連接并實現遠程控制。

4.2 獲取目標設備命令集

命令注入執行成功并獲取root權限的當前目標設備命令集。如圖4-1所示。

圖4-1中在被攻擊設備中顯示出當前設備可用命令。設備命令中包含安裝和登錄、文件處理、系統管理、網絡操作、系統安全、其它功能等命令集合。