研究人员披露了 Cisco Security Manager 中严重的RCE缺陷

思科发布4.22版本的补丁程序后，过了一周，思科发布了多个有关Cisco Security Manager（CSM）关键漏洞的安全公告。

此前，Code White研究员Florian Hauser（frycos）公开披露了影响CSM web界面的12个安全漏洞的PoC，这些漏洞使得未经验证的攻击者有可能实现远程代码执行（RCE）攻击。

三个月前的7月13日，思科产品安全事故响应小组（PSIRT）负责任地报告了这些缺陷。

frycos在一条推文中称：“由于Cisco PSIRT变得无响应，而发布的4.22版仍然没有提到任何漏洞，”他在推特中列举了公开POC的原因。

Cisco Security Manager是一个端到端的企业解决方案，允许组织实施访问策略，管理和配置网络中的防火墙和入侵防御系统。

该公司于11月9日发布了CSM的4.22版本，其中包括对AnyConnect Web Security WSO的支持，以及不受欢迎的MD5哈希算法、DES和3DES加密算法。

这些漏洞允许攻击者在最高权限用户帐户“NT AUTHORITY/SYSTEM”的上下文中创建恶意请求、上传和下载任意文件，从而使对手能够访问特定目录中的所有文件。

思科在其公告中表示：“该漏洞是由于对受影响设备的请求中目录遍历字符序列的验证不正确所致。”“攻击者可以通过向受影响的设备发送精心编制的请求来利用此漏洞进行攻击。成功利用此漏洞可使攻击者从受影响的设备下载任意文件。”

该缺陷的CVSS评分为9.1（满分10分），等级为严重。

CSM使用的不安全的Java反序列化函数导致的另一个缺陷（CVSS分数：8.1）可能允许具有系统权限的未经验证的远程攻击者在受影响的设备上执行任意命令。

然而，思科还没有解决这个缺陷，计划中的修复程序将包括在思科安全管理器4.23版本中。

该公司还表示，它知道有关这些漏洞的公开声明，目前还没有发现任何证据表明这些漏洞是在野外被利用的。

11月16日，思科针对Cisco security Manager（CSM）中报告的漏洞发布了三份安全公告。报告的12个问题通过四个Cisco bug ID进行跟踪并解决。思科发布了免费软件更新，以解决CSM路径遍历漏洞咨询和CSM静态凭证漏洞咨询中描述的漏洞。

思科将尽快发布免费软件更新，以解决CSM Java反序列化漏洞咨询中描述的漏洞。

消息来源：The Hacker News ；封面来自网络；译者：芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理。

转载请注明“转自 HackerNews.cc ”