http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200205-103

CiscoSecureACS是一个运行于WindowsNT/2000和Unix平台的易升级、高性能的访问控制服务程序。它作为RemoteAccessDial-InUserService(RADIUS)或TACACS+服务系统的控制中心来控制验证用户对网络资源的访问。WindowsNT下已经配置了NDS服务(NovellDirectoryServices)的CiscoSecureACS存在一个安全漏洞，NDS数据库中已经过期失效或被禁止的用户帐号仍然可以成功通过服务的验证。这使得实际上应该被拒绝访问服务的失效或禁止的用户只要提供正确的验证信息就仍然可以访问系统服务。导致这个漏洞的是”NDSAuth.DLL”文件，这个模块允许允许通过一个外部的NDS服务器进行ACS认证。日期为2001-Dec-15的这个版本的文件忽略了NDS中用户的禁止和过期状态，因此即使用户状态已经是禁止或过期，只要他能提供正确的验证信息，就可以访问ACS系统服务。只有CiscoSecureACS3.01forWindowsNT存在这个问题。<*链接：http://www.cisco.com/warp/public/707/ciscosecure-acs-nds-authentication-vuln-pub.shtml*>

来源:BID
名称:4048
链接:http://www.securityfocus.com/bid/4048
来源:XF
名称:ciscosecure-nds-authentication(8106)
链接:http://www.iss.net/security_center/static/8106.php
来源:CISCO
名称:20020207CiscoSecureAccessControlServerNovellDirectoryServiceExpired/DisabledUserAuthenticationVulnerability
链接:http://www.cisco.com/warp/public/707/ciscosecure-acs-nds-authentication-vuln-pub.shtml