思科多款产品严重误差清静通告

宣布时间 2018-07-20
误差编号
CVE-2018-0376
CVE-2018-0377
CVE-2018-0374
CVE-2018-0375

等25个误差，，，，，，，见下文列表。。 。


误差级别
严重

厂商自评：9.8  CVSS分值：官方未评定


影响版本

Policy Suite、SD-WAN、WebEx 和 Nexus 产品


误差概述

7月18日，，，，，，，思科见告客户，，，，，，，它已在其Policy Suite, SD-WAN, WebEx 和Nexus产品中发明并修补了25个误差（4个critical，，，，，，，9个high，，，，，，，12个medium）。。 。如下：


万利国际官网(中国游)有限公司

万利国际官网(中国游)有限公司

万利国际官网(中国游)有限公司


从 Policy Suite 中发明四个严重缺陷，，，，，，，其中两个清静误差是未认证会见权限问题，，，，，，，可导致远程攻击者会见 Policy Builder 界面和开放效劳网关建议 (OSGi) 接口。。 。

CVE-2018-0376
一旦获得由于缺乏身份验证而袒露的Policy Builder interface的会见权限，，，，，，，攻击者就可以对现有存储库举行更改并建设新的存储库。。 。 
CVE-2018-0377
OSGi接口允许攻击者会见或更改OSGi历程可会见的任何文件。。 。
CVE-2018-0374
缺乏认证机制还可导致 Policy Builder 数据库遭袒露，，，，，，，从而导致攻击者会见并更改存储在其中的任何数据。。 。
CVE-2018-0375
Policy Suite中的Cluster Manager保存一个具有默认、静态凭证的root帐户。。 。远程攻击者可以登录此帐户并使用root权限执行恣意下令。。 。
思科还修复了 SD-WAN 解决计划中保存的七个误差。。 。其中唯逐一个在无需认证的情形下能遭远程使用的误差影响 Touch Provision 效劳，，，，，，，它可导致攻击者引发 DoS 条件。。 。
其它的 SD-WAN 清静误差要求举行认证，，，，，，，如遭使用，，，，，，，可覆写底层操作系统上的恣意文件并以 vmanage 或根权限执行恣意下令。。 。其中的一个 SD-WAN 误差使用要求认证和外地会见权限。。 。
思科还通知消耗者称其 Nexus 9000 系列的 Fabric 交流机，，，，，，，详细是 DHCPv6 功效，，，，，，，它受一个高危缺陷影响，，，，，，，可遭远程未经认证的攻击者用于引发 DoS 条件。。 。

思科还将多个影响思科 Webex Network Recording Player for AdvancedRecording Format (ARF) 和 WebexRecording Format (WRF) 文件的误差评为高危误差。。 。攻击者通过让目的用户使用受影响播放器翻开特殊结构的 ARF 或 WRF 文件就能执行恣意代码。。 。


修复建议：

思科官方已经宣布新版本修复了上述误差，，，，，，，用户应实时升级举行防护。。 。


参考链接：
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir&limit=100#~Vulnerabilities
https://www.securityweek.com/cisco-finds-serious-flaws-policy-suite-sd-wan-products