安全研究人员发现，几个思科小型企业路由器的固件包含许多安全问题。
这些问题包括硬编码的密码哈希以及带有相应的公钥-私钥对和一个静态安全Shell(SSH)主机密钥的静态X.509证书。
静态密钥嵌入在路由器固件中，用于为受影响的路由器提供HTTPS和SSH访问。该问题意味着所有具有受影响固件的设备都使用相同的密钥。
思科承认这是其开发人员的疏忽，但对错误的严重性轻描淡写，因为证书和密钥从未打算用于产品运输。
据思科称，这些证书在固件开发过程中用于测试目的，从未在产品的任何发货版本中用于实时功能。
思科说：“在运输软件中包含这些证书和密钥是开发团队对这些路由器的疏忽。”
同时，思科解释说，静态SSH主机密钥的存在是由于固件中包含的思科拥有的Tail-f Netconf ConfD软件包所致。但是思科表示，该固件的任何发行版本均不支持基于密钥的SSH身份验证。
研究人员还为固件中的root用户找到了一个硬编码的密码哈希。
思科指出：“可以在受影响的设备上访问基本操作系统的攻击者可以利用此问题获取根级特权。但是，思科目前不知道一种访问这些路由器上基本操作系统的方法。”
思科表示已删除固件版本1.5.1.05及更高版本中针对RV320和RV325双千兆位WAN VPN路由器的静态证书和密钥以及硬编码的用户帐户。
两位研究人员在Cisco Small Business RV系列路由器RV016，RV042，RV042G和RV082路由器的固件中发现了类似的问题。
在这种情况下，会向台湾网络设备制造商QNO Technology颁发X.509证书以及相应的公钥/私钥对。
思科再次表示，这是开发这些路由器的团队的监督，并且密钥从未用于发货产品的实时功能，而是使用了动态创建的证书。
思科已在固件版本4.2.3.10中修复了此问题，该问题还包括一个新修复的，影响 RV016，RV042，RV042G和RV082路由器的高严重性漏洞的修复程序。
该错误确实保证了跟踪标识符CVE-2019-15271的严重性得分为8.8(满分10)。路由器的Web界面中的错误可能使经过身份验证的远程攻击者能够以root特权执行恶意命令。