Cisco产品多个严重误差清静通告

宣布时间 2018-09-06

误差编号和级别


CVE编号：CVE-2018-0435，危险级别：严重，CVSS分值：厂商自评9.1，官方未评定

CVE编号：CVE-2018-0423，危险级别：严重，CVSS分值：厂商自评9.8，官方未评定


影响版本


CVE-2018-0435此误差影响Cisco Umbrella服务。


CVE-2018-0423此误差会影响以下Cisco产品的所有版本：
RV110W Wireless-N VPN防火墙
RV130W Wireless-N多功效VPN路由器

RV215W Wireless-N VPN路由器


误差概述


CVE-2018-0435 ：
Cisco Umbrella API中保存的误差可能允许经由身份验证的远程攻击者审查和修改其组织和其他组织中的数据。该误差的爆发是由于Cisco Umbrella API接口的身份验证设置缺乏。乐成使用该误差可能允许攻击者跨多个组织读取或修改数据。


CVE-2018-0423 ：
Cisco RV110W Wireless-N VPN防火墙、Cisco RV130W Wireless-N多功效VPN路由器和Cisco RV215W Wireless-N VPN路由器的Web管理界面中保存的误差可能允许未经身份验证的远程攻击者导致拒绝服务攻击或执行恣意代码。该误差是由于Web管理界面的Guest用户功效中对用户提供的输入界线限制不当造成的。攻击者可以通过向目的装备发送恶意请求来使用此误差，从而触发缓冲区溢出。乐成使用该误差可能允许攻击者使装备阻止响应，导致拒绝服务攻击，或者允许攻击者执行恣意代码。


修复建议


CVE-2018-0435 ：
思科已经在Cisco Umbrella production API中修复了该误差。无需用户操作来应用补丁。
CVE-2018-0423 ：
关于Cisco RV130W Wireless-N多功效VPN路由器，思科宣布了免费的固件更新，客户可以通过Cisco.com上的软件中心下载固件更新https://software.cisco.com/download/home
关于Cisco RV110W Wireless-N VPN防火墙和Cisco RV215W Wireless-N VPN路由器，思科尚未宣布并且不会宣布解决该误差的固件更新。


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180905-umbrella-api
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180905-rv-routers-overflow
https://www.zdnet.com/article/cisco-warns-customers-of-critical-security-flaws-advisory-includes-apache-struts/