原文《研究人員披露了 Cisco Security Manager 中嚴重的RCE缺陷》

思科發(fā)布4.22版本的補丁程序后，過了一周，思科發(fā)布了多個有關(guān)Cisco Security Manager（CSM）關(guān)鍵漏洞的安全公告。

此前，Code White研究員Florian Hauser（frycos）公開披露了影響CSM web界面的12個安全漏洞的PoC，這些漏洞使得未經(jīng)驗證的攻擊者有可能實現(xiàn)遠程代碼執(zhí)行（RCE）攻擊。

三個月前的7月13日，思科產(chǎn)品安全事故響應(yīng)小組（PSIRT）負責(zé)任地報告了這些缺陷。

frycos在一條推文中稱：“由于Cisco PSIRT變得無響應(yīng)，而發(fā)布的4.22版仍然沒有提到任何漏洞，”他在推特中列舉了公開POC的原因。

Cisco Security Manager是一個端到端的企業(yè)解決方案，允許組織實施訪問策略，管理和配置網(wǎng)絡(luò)中的防火墻和入侵防御系統(tǒng)。

該公司于11月9日發(fā)布了CSM的4.22版本，其中包括對AnyConnect Web Security WSO的支持，以及不受歡迎的MD5哈希算法、DES和3DES加密算法。

這些漏洞允許攻擊者在最高權(quán)限用戶帳戶“NT AUTHORITY\SYSTEM”的上下文中創(chuàng)建惡意請求、上傳和下載任意文件，從而使對手能夠訪問特定目錄中的所有文件。

思科在其公告中表示：“該漏洞是由于對受影響設(shè)備的請求中目錄遍歷字符序列的驗證不正確所致?！薄肮粽呖梢酝ㄟ^向受影響的設(shè)備發(fā)送精心編制的請求來利用此漏洞進行攻擊。成功利用此漏洞可使攻擊者從受影響的設(shè)備下載任意文件?！?/p>

該缺陷的CVSS評分為9.1（滿分10分），等級為嚴重。

CSM使用的不安全的Java反序列化函數(shù)導(dǎo)致的另一個缺陷（CVSS分數(shù)：8.1）可能允許具有系統(tǒng)權(quán)限的未經(jīng)驗證的遠程攻擊者在受影響的設(shè)備上執(zhí)行任意命令。

然而，思科還沒有解決這個缺陷，計劃中的修復(fù)程序?qū)ㄔ谒伎瓢踩芾砥?.23版本中。

該公司還表示，它知道有關(guān)這些漏洞的公開聲明，目前還沒有發(fā)現(xiàn)任何證據(jù)表明這些漏洞是在野外被利用的。

11月16日，思科針對Cisco security Manager（CSM）中報告的漏洞發(fā)布了三份安全公告。報告的12個問題通過四個Cisco bug ID進行跟蹤并解決。思科發(fā)布了免費軟件更新，以解決CSM路徑遍歷漏洞咨詢和CSM靜態(tài)憑證漏洞咨詢中描述的漏洞。

思科將盡快發(fā)布免費軟件更新，以解決CSM Java反序列化漏洞咨詢中描述的漏洞。

消息來源：The Hacker News ；封面來自網(wǎng)絡(luò)；譯者：芋泥啵啵奶茶。

本文由 HackerNews.cc 翻譯整理。

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/