思科多款产品严重误差清静通告

宣布时间 2018-07-20
误差编号
CVE-2018-0376
CVE-2018-0377
CVE-2018-0374
CVE-2018-0375

等25个误差，见下文列表。


误差级别
严重

厂商自评：9.8  CVSS分值：官方未评定


影响版本

Policy Suite、SD-WAN、WebEx 和 Nexus 产品


误差概述

7月18日，思科见告客户，它已在其Policy Suite, SD-WAN, WebEx 和Nexus产品中发明并修补了25个误差（4个critical，9个high，12个medium）。如下：


尊龙凯时 - 人生就是搏!

尊龙凯时 - 人生就是搏!

尊龙凯时 - 人生就是搏!


从 Policy Suite 中发明四个严重缺陷，其中两个清静误差是未认证会见权限问题，可导致远程攻击者会见 Policy Builder 界面和开放服务网关建议 (OSGi) 接口。

CVE-2018-0376
一旦获得由于缺乏身份验证而袒露的Policy Builder interface的会见权限，攻击者就可以对现有存储库举行更改并建设新的存储库。 
CVE-2018-0377
OSGi接口允许攻击者会见或更改OSGi历程可会见的任何文件。
CVE-2018-0374
缺乏认证机制还可导致 Policy Builder 数据库遭袒露，从而导致攻击者会见并更改存储在其中的任何数据。
CVE-2018-0375
Policy Suite中的Cluster Manager保存一个具有默认、静态凭证的root帐户。远程攻击者可以登录此帐户并使用root权限执行恣意下令。
思科还修复了 SD-WAN 解决计划中保存的七个误差。其中唯逐一个在无需认证的情形下能遭远程使用的误差影响 Touch Provision 服务，它可导致攻击者引发 DoS 条件。
其它的 SD-WAN 清静误差要求举行认证，如遭使用，可覆写底层操作系统上的恣意文件并以 vmanage 或根权限执行恣意下令。其中的一个 SD-WAN 误差使用要求认证和外地会见权限。
思科还通知消耗者称其 Nexus 9000 系列的 Fabric 交流机，详细是 DHCPv6 功效，它受一个高危缺陷影响，可遭远程未经认证的攻击者用于引发 DoS 条件。

思科还将多个影响思科 Webex Network Recording Player for AdvancedRecording Format (ARF) 和 WebexRecording Format (WRF) 文件的误差评为高危误差。攻击者通过让目的用户使用受影响播放器翻开特殊结构的 ARF 或 WRF 文件就能执行恣意代码。


修复建议：

思科官方已经宣布新版本修复了上述误差，用户应实时升级举行防护。


参考链接：
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&limit=100#~Vulnerabilities
https://www.securityweek.com/cisco-finds-serious-flaws-policy-suite-sd-wan-products