Cisco advirtió sobre múltiples vulnerabilidades en sus routers Small Business RV160, RV260, RV340 y RV345 que, en conjunto, permiten a un atacante ejecutar código arbitrario, elevar privilegios, ejecutar comandos, saltarse la autenticación y autorización, cargar software sin firma o provocar una denegación de servicio. Las fallas corresponden a desbordamientos de búfer en la pila (CWE-121) y escrituras fuera de límites (CWE-787), con un CVSS de 10.0, el máximo posible.
El impacto real es alto: son equipos de borde en pymes y sucursales, por lo que un atacante que los comprometa puede tomar control total del dispositivo y usarlo como punto de entrada a la red interna. El EPSS estima un 4% de probabilidad de explotación en los próximos 30 días (percentil 90%), lo que indica que no es un riesgo teórico. Se recomienda revisar el aviso de Cisco y aplicar las actualizaciones o mitigaciones disponibles.
| CVE | CVE-2022-20749 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 10.0 / 10 |
| EPSS | 4.0% en 30 días (percentil 90) |
| CWE | CWE-121, CWE-787 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |