【缝隙公告】Cisco多个安全缝隙

颁布功夫 2021-01-14

0x00 缝隙概述

2021年01月13日，Cisco颁布安全布告，公开了其多个产品中的67个缝隙补丁，这些缝隙涉及AnyConnect安全移动客户端、RV110W、RV130、RV130W和RV215W幼型企业路由器及Cisco互联移动履历（CMX）等。


0x01 缝隙详情

image.png

 

Cisco互联移动履历权限升级缝隙（CVE-2021-1144）

该缝隙存在于思科互联移动履历（CMX）中，是对更改密码的授权查抄处置不当导致的，其CVSS评分8.8。经过身份验证的攻击者能够通过发送恶意HTTP要求来利用此缝隙。成功利用此缝隙的攻击者能够更改系统上任何用户（蕴含治理用户）的密码来假意该用户。但要利用此缝隙，攻击者必须占有经过身份验证的CMX帐户。

影响领域

Cisco CMX版本10.6.0、10.6.1和10.6.2

建复版本

10.6.3及更高版本

 

Cisco AnyConnect Secure Mobility Client for Windows DLL 注入缝隙（CVE-2021-1237）

�？榛说闳砑稟nyConnect Secure Mobility Client为端点提供了宽泛的安全服务，如远程接见、Web安全职能和周游�；�。

该缝隙存在于Windows版Cisco AnyConnect安全移动客户端的网络接见治理器和Web安全代理组件中，是利用法式对运行时加载的资源验证不及导致的，其CVSS评分7.8。攻击者能够通过在系统的特定蹊径中插入配置文件来利用此缝隙，从而导致利用法式启动时加载恶意的DLL文件。成功利用此缝隙的攻击者能够使用SYSTEM权限在受影响的推算机上执行肆意代码。但要利用此缝隙，攻击者必要在Windows系统上拥有有效的痛处。

影响领域

Cisco AnyConnect Secure Mobility Client for Windows 4.9.04043之前的版本

建复版本

Cisco AnyConnect Secure Mobility Client for Windows 4.9.04043及更高版本

 

此表，思科幼型企业RV110W、RV130、RV130W和RV215W路由器中存在5个号令注入缝隙（CVE-2021-1146、CVE-2021-1147、CVE-2021-1148、CVE-2021-1149和CVE-2021-1150），远程攻击者能够通过利用这些缝隙注入肆意号令。

除上述缝隙表，思科幼型企业RV110W、RV130、RV130W和RV215W还存在60个缝隙，攻击者能够通过向受影响的设备发送恶意的HTTP要求来利用这些缝隙，成功利用这些缝隙的攻击者可能以root用户身份在底层操作系统上执行肆意代码、导致设备沉新加载或回绝服务。

 

0x02 措置建议

建议参考Cisco官方颁布的安全布告升级至最新版本。

下载链接：

https://software.cisco.com/download/find

 

0x03 参考链接

https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-dll-injec-pQnryXLf

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cmxpe-75Asy9k

https://threatpost.com/cisco-flaw-cmx-software-retailers/163027/

 

0x04 功夫线

2021-01-13  Cisco颁布安全更新

2021-01-14  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png