查看原文
其他

思科在多款产品中发现并修复多个严重缺陷

Eduard Kovacs 代码卫士 2022-04-06

 聚焦源代码安全,网罗国内外最新资讯!

翻译:360代码卫士团队

周三,思科通知消费者称在 Policy SuiteSD-WANWebEx  Nexus 产品中发现并修复了十多个严重和高危漏洞。

思科报道称,在内部测试过程中从 Policy Suite 中发现四个严重缺陷,其中两个安全漏洞是未认证访问权限问题,可导致远程攻击者访问 Policy Builder 界面和开放服务网关倡议 (OSGi) 接口。

由于缺乏认证,攻击者一旦获得访问 Policy Builder 接口的权限后就能改变现有的存储库并创建新的存储库。OSGi 接口可允许攻击者访问或更改任意可遭 OSGi 进程访问的文件。

缺乏认证机制还可导致 Policy Builder 数据库遭暴露,从而导致攻击者访问并更改存储在其中的任何数据。

思科还发现 Policy Suite 中的 Cluster 管理器拥有默认且静态凭证的根账户。远程攻击者能够登录到这个根账户并以根权限执行任意命令。

这些严重的 Policy Suite 漏洞的编号是 CVE-2018-0374、CVE-2018-0375、CVE-2018-0376 和 CVE-2018-0377。

思科还修复了 SD-WAN 解决方案中存在的七个漏洞。其中唯一一个在无需认证的情况下能遭远程利用的漏洞影响 Touch Provision 服务,它可导致攻击者引发 DoS 条件。

其它的 SD-WAN 安全漏洞要求进行认证,如遭利用,可覆写底层操作系统上的任意文件并以 vmanage 或根权限执行任意命令。其中的一个 SD-WAN 漏洞利用要求认证和本地访问权限。

思科还通知消费者称其 Nexus 9000 系列的 Fabric 交换机,具体是 DHCPv6 功能,它受一个高危缺陷影响,可遭远程未经认证的攻击者用于引发 DoS 条件。

思科还将多个影响思科 Webex Network Recording Player for AdvancedRecording Format (ARF) 和 WebexRecording Format (WRF) 文件的漏洞评为高危漏洞。攻击者通过让目标用户使用受影响播放器打开特别构造的 ARF 或 WRF 文件就能执行任意代码。

似乎于本周修复的所有这些漏洞均未遭恶意利用。



关联阅读

因不满微软评级,思科怒而公开严重的 Windows 漏洞详情

思科 DNA Center设备存在三个严重漏洞 可遭远程控制


原文链接

https://www.securityweek.com/cisco-finds-serious-flaws-policy-suite-sd-wan-product



本文由360代码卫士编译,不代表360观点,转载请注明 “转自360代码卫士www.codesafe.cn”。

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存