思科建复其SD-WAN解决规划中的多个缝隙风险公告

颁布功夫 2020-03-19

缝隙编号和级别


CVE编号：CVE-2020-3265，危险级别：高危，CVSS分值：厂商自评：7.0，官方未评定

CVE编号：CVE-2020-3266，危险级别：高危，CVSS分值：厂商自评：7.8，官方未评定

CVE编号：CVE-2020-3264，危险级别：高危，CVSS分值：厂商自评：7.1，官方未评定


影响版本


运行着Cisco SD-WAN Solution Release 19.2.2之前版本的以下产品：


vBond Orchestrator Software

vEdge 100 Series Routers

vEdge 1000 Series Routers

vEdge 2000 Series Routers

vEdge 5000 Series Routers

vEdge Cloud Router Platform

vManage Network Management Software

vSmart Controller Software


缝隙概述


Cisco SD-WAN Solution是美国思科（Cisco）公司的一套网络扩大解决规划。


近日，思科颁布安全布告，建复了其SD-WAN解决规划中的五个缝隙，其中蕴含三个高危缝隙，概述如下：


CVE-2020-3265

Cisco SD-WAN Solution software Release 19.2.2之前版本中存在权限许可和接见节造问题缝隙，该缝隙源于法式没有充分进行输入验证。本地攻击者可通过发送特造的要求利用该缝隙获取root权限。


CVE-2020-3266

Cisco SD-WAN Solution software Release 19.2.2之前版本中的CLI存在号令注入缝隙，该缝隙源于法式没有充分进行输入验证。本地攻击者可通过进行身份验证并提交特造的输入利用该缝隙以root权限执行号令。


CVE-2020-3264

Cisco SD-WAN Solution software Release 19.2.2之前版本中存在缓冲区谬误缝隙，该缝隙源于不充分的输入验证。本地攻击者可通过发送特造的流量利用该缝隙接见没有授权的信息或对系统进行未授权的批改。


缝隙验证


暂无PoC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwpresc-ySJGvE9

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwclici-cvrQpH9v

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwanbo-QKcABnS2


参考链接


https://tools.cisco.com/security/center/publicationListing.x