继SonicWall的VPN产品爆漏洞后，思科上周也发布安全公告，修补小型企业VPN路由器产品系列的8项重大及高度风险漏洞，包括6项远程程序代码执行（RCE）漏洞，呼吁用户尽快安全修补程序。
第一项安全公告包含CVE-2021-1289到1295共6项漏洞。它是出在中小企业VPN路由器的Web管理接口，对HTTP调用验证不当所致。攻击者可发送恶意HTTP调用开采漏洞。一旦成功，攻击者即可在目标设备上，以根用户权限远程执行任意程序代码。
本漏洞风险高达9.8，属重大风险，所有执行1.0.01.02版本以前固件的小型企业路由器，包括RV160、160W、260、260P和260W VPN路由器受到影响。
第二项公告则涵盖CVE-2021-1296及CVE-2021-1297。这批漏洞出在VPN路由器Web管理接口对上传文件验证不足。攻击者可对Web接口上传文件到目标系统上不具访问权限的区域，来开采漏洞。成功开采者可以进行目录穿越（directory traversal）攻击、复写原本不会被访问的文件。
这2个漏洞CVSS 3.1风险评分为7.5，属高度风险。受影响的产品和前一项公告相同，包括RV160、160W、260、260P和260W VPN路由器。思科表示，这些漏洞没有权宜性的缓解做法，呼吁用户尽快安装修补程序。
思科表示，RV340、RV340W、RV345、RV345P WAN Gigabit VPN路由器，则不受影响。
除了CVE-2021-1295外，CVE-2021-1289到1297是由趋势科技Zero Day Initiative团队发现。Chaitin Security Research Lab则贡献了CVE-2021-1293及CVE-2021-1295。