思科多款产品严重漏洞安全通告

发布时间 2018-07-20
漏洞编号
CVE-2018-0376
CVE-2018-0377
CVE-2018-0374
CVE-2018-0375

等25个漏洞,见下文列表。


漏洞级别
严重

厂商自评:9.8  CVSS分值:官方未评定


影响版本

Policy Suite、SD-WAN、WebEx 和 Nexus 产品


漏洞概述

7月18日,思科告知客户,它已在其Policy Suite, SD-WAN, WebEx 和Nexus产品中发现并修补了25个漏洞(4个critical,9个high,12个medium)。如下:



从 Policy Suite 中发现四个严重缺陷,其中两个安全漏洞是未认证访问权限问题,可导致远程攻击者访问 Policy Builder 界面和开放服务网关倡议 (OSGi) 接口。

CVE-2018-0376
一旦获得由于缺乏身份验证而暴露的Policy Builder interface的访问权限,攻击者就可以对现有存储库进行更改并创建新的存储库。 
CVE-2018-0377
OSGi接口允许攻击者访问或更改OSGi进程可访问的任何文件。
CVE-2018-0374
缺乏认证机制还可导致 Policy Builder 数据库遭暴露,从而导致攻击者访问并更改存储在其中的任何数据。
CVE-2018-0375
Policy Suite中的Cluster Manager存在一个具有默认、静态凭据的root帐户。远程攻击者可以登录此帐户并使用root权限实行任意命令。
思科还修复了 SD-WAN 解决方案中存在的七个漏洞。其中唯一一个在无需认证的情况下能遭远程利用的漏洞影响 Touch Provision 服务,它可导致攻击者引发 DoS 条件。
其它的 SD-WAN 安全漏洞要求进行认证,如遭利用,可覆写底层操作系统上的任意文件并以 vmanage 或根权限实行任意命令。其中的一个 SD-WAN 漏洞利用要求认证和本地访问权限。
思科还通知消费者称其 Nexus 9000 系列的 Fabric 交换机,具体是 DHCPv6 功能,它受一个高危缺陷影响,可遭远程未经认证的攻击者用于引发 DoS 条件。

思科还将多个影响思科 Webex Network Recording Player for AdvancedRecording Format (ARF) 和 WebexRecording Format (WRF) 文件的漏洞评为高危漏洞。攻击者通过让目标用户使用受影响播放器打开特别构造的 ARF 或 WRF 文件就能实行任意代码。


修复建议:

思科官方已经发布新版本修复了上述漏洞,用户应及时升级进行防护。


参考链接:
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&limit=100#~Vulnerabilities
https://www.securityweek.com/cisco-finds-serious-flaws-policy-suite-sd-wan-products