思科多款产品严沉缝隙安全公告

颁布功夫 2018-07-20
缝隙编号
CVE-2018-0376
CVE-2018-0377
CVE-2018-0374
CVE-2018-0375

等25个缝隙，，，，，见下文列表。。。。。。 。。


缝隙级别
严沉

厂商自评：9.8  CVSS分值：官方未评定


影响版本

Policy Suite、SD-WAN、WebEx 和 Nexus 产品


缝隙概述

7月18日，，，，，思科奉告客户，，，，，它已在其Policy Suite, SD-WAN, WebEx 和Nexus产品中发现并建补了25个缝隙（4个critical，，，，，9个high，，，，，12个medium）。。。。。。 。。如下：


8827太阳集团(Macau)股份有限公司-Official website

8827太阳集团(Macau)股份有限公司-Official website

8827太阳集团(Macau)股份有限公司-Official website


从 Policy Suite 中发现四个严沉缺点，，，，，其中两个安全缝隙是未认证接见权限问题，，，，，可导致远程攻击者接见 Policy Builder 界面和盛开服务网关建议 (OSGi) 接口。。。。。。 。。

CVE-2018-0376
一旦获得由于不足身份验证而露出的Policy Builder interface的接见权限，，，，，攻击者就能够对现有存储库进行更改并创建新的存储库。。。。。。 。。 
CVE-2018-0377
OSGi接口允许攻击者接见或更改OSGi过程可接见的任何文件。。。。。。 。。
CVE-2018-0374
不足认证机造还可导致 Policy Builder 数据库遭露出，，，，，从而导致攻击者接见并更改存储在其中的任何数据。。。。。。 。。
CVE-2018-0375
Policy Suite中的Cluster Manager存在一个拥有默认、静态痛处的root帐户。。。。。。 。。远程攻击者能够登录此帐户并使用root权限执行肆意号令。。。。。。 。。
思科还建复了 SD-WAN 解决规划中存在的七个缝隙。。。。。。 。。其中唯逐一个在无需认证的情况下能遭远程利用的缝隙影响 Touch Provision 服务，，，，，它可导致攻击者引发 DoS 前提。。。。。。 。。
其它的 SD-WAN 安全缝隙要求进行认证，，，，，如遭利用，，，，，可覆写底层操作系统上的肆意文件并以 vmanage 或根权限执行肆意号令。。。。。。 。。其中的一个 SD-WAN 缝隙利用要求认证和本地接见权限。。。。。。 。。
思科还通知消费者称其 Nexus 9000 系列的 Fabric 互换机，，，，，具体是 DHCPv6 职能，，，，，它受一个高危缺点影响，，，，，可遭远程未经认证的攻击者用于引发 DoS 前提。。。。。。 。。

思科还将多个影响思科 Webex Network Recording Player for AdvancedRecording Format (ARF) 和 WebexRecording Format (WRF) 文件的缝隙评为高危缝隙。。。。。。 。。攻击者通过让指标用户使用受影响播放器打开出格机关的 ARF 或 WRF 文件就能执行肆意代码。。。。。。 。。


建复建议：

思科官方已经颁布新版本建复了上述缝隙，，，，，用户应实时升级进行防护。。。。。。 。。


参考链接：
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&limit=100#~Vulnerabilities
https://www.securityweek.com/cisco-finds-serious-flaws-policy-suite-sd-wan-products