思科发布概念验证(PoC)漏洞利用代码补丁

Andrew 2020-11-18
专栏 - 事件 发布于 2020-11-18 11:22:10 阅读 191 评论 0

思科安全管理器中存在一个严重的路径遍历漏洞(CVE-2020-27130),该漏洞将敏感信息暴露给未经身份验证的远程攻击者。

在思科安全管理器中的一个严重漏洞的概念验证(poc)漏洞代码发布一天后,思科匆忙发布了补丁。

思科安全管理器是企业管理员的端到端安全管理应用程序,使他们能够执行各种安全策略,对安全事件进行故障排除并管理各种设备。该应用程序具有一个漏洞,该漏洞可能允许未经身份验证的远程攻击者访问受影响系统上的敏感数据。该漏洞(CVE-2020-27130)的CVSS评分为9.1(满分10分),属于严重漏洞。

思科在周二的分析中说: “攻击者可以通过向受影响的设备发送精心设计的请求来利用此漏洞。” “成功利用漏洞可以使攻击者从受影响的设备下载任意文件。”

据思科称,该漏洞源于对受影响设备的请求中目录遍历字符序列的不正确验证。路径遍历攻击旨在访问存储在Web根文件夹外部的文件和目录。如果攻击者操纵引用文件的变量(使用“ ..”),则可以访问存储在文件系统上的任意文件和目录,例如应用程序源代码或配置文件和关键系统文件。

安全研究员Florian Hauser周一在线发布了针对PoC漏洞的漏洞利用以及Cisco Security Manager中的其他11个问题。Hauser在周一的一条推文中说,他先前已在120天前报告了这些漏洞-但是,思科“变得反应迟钝,而已发布的4.22版仍然没有提及任何漏洞。”

在星期二的后续推文中,豪瑟说:“与思科的通话很愉快!确实也实施了缺少的漏洞修复程序,但需要进一步测试。SP1将在未来几周内发布。我们现在找到了一种很好的协作模式。”

该漏洞影响Cisco Security Manager 4.21和更早版本。此问题在Cisco Security Manager版本4.22中已解决。

其他安全管理器漏洞

思科周二还披露了Cisco Security Manager中的两个高严重性漏洞。其中一项(CVE-2020-27125是由于对受影响的软件中的静态凭据没有足够的保护。据思科称,此缺陷可能允许未经身份验证的远程攻击者访问受影响系统上的敏感信息。

思科称:“攻击者可以通过查看源代码来利用此漏洞。” “成功利用漏洞可以使攻击者查看静态凭据,攻击者可以使用这些凭据来进行进一步的攻击。”

另一个漏洞存在于Cisco Security Manager使用的Java反序列化功能中,并且可能允许未经身份验证的远程攻击者在受影响的设备上执行任意命令。

思科称,该漏洞(CVE-2020-2713)源自受影响软件对用户提供的内容进行的不安全反序列化。

思科的建议说:“攻击者可以通过将恶意的序列化Java对象发送给受影响的系统上的特定侦听器来利用这些漏洞。” “成功利用漏洞可以使攻击者使用Windows目标主机上的NT AUTHORITY \ SYSTEM特权在设备上执行任意命令。”

思科最近已经解决了其产品线中的各种漏洞。上周,这家网络巨头警告说,思科的IOS XR软件存在严重漏洞,该漏洞可能允许未经身份验证的远程攻击者削弱思科聚合服务路由器(ASR)。思科最近还公开了 其AnyConnect安全移动客户端软件的Windows,macOS和Linux版本中的零日漏洞。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!