思科（Cisco）路由器和互换机重大裂痕：可被节制或导致瘫痪
|
受影响的产物： 被爆出的裂痕会影响以下思科产物： 1.思科809和829家产ISR 2.CGR1000 办理方案： 思科已经宣布了免费软件更新，以办理此传递中描写的裂痕。 1.客户只能下载直接从思科或通过思科授权的经销商或相助搭档购置的具有有用容许证的软件进级。免费的安详软件更新不会使客户得到新的软件容许，其他软件成果集或首要版本进级的权力。 2.直接从思科购置但不持有思科处事条约的客户以及通过第三方供给商举办购置但未通过贩卖点得到牢靠软件的客户应通过与思科TAC接洽来得到进级： https：// www .cisco.com / c / en / us / support / web / tsd-cisco-worldwide-contacts.html 客户应拥有可用的产物序列号，并筹备提供此传递的URL，以作为有权免费进级的证据 裂痕传递 环球领先的收集办理方案供给商思科（Cisco）公司,于6月3日宣布了一系列安详通告，办理了总共47个裂痕，个中包罗在Internetwork Operating System（思科收集操纵体系,用于其大大都路由器和互换机产物，以下简称IOS）或IOS EX(在线集会会议软件）中发明并修复的三个要害裂痕。 一个是Cisco IOS XE软件版本16.3.1及更高版本中的IOx（IOx是思科开拓的端到端应用措施框架，可为思科收集平台上的差异应用措施范例提供给用措施托管成果。）应用措施托管基本布局的授权节制中的特权晋升裂痕（代号CVE-2020-3227）。其他两个严峻裂痕包罗RCE长途执行代码裂痕（代号CVE-2020-3198）和呼吁注入裂痕（代号CVE-2020-3205）。 思科在一份传递中表明说： “CVE-2020-3227裂痕是因为对授权令牌的哀求处理赏罚不妥所致。” 进攻者可以通过行使全心计划的API挪用来哀求此令牌，从而操作此裂痕。操作裂痕可以使进攻者得到授权令牌并在受影响的装备上执行任何IOx API呼吁。” “ CVE-2020-3198”裂痕也许导致体系瓦解并从头加载，“在打点Cisco IOS软件的VM(Virtual Machine)通讯的代码地区中被发明。“该裂痕是因为发往受影响装备的UDP端口9700的数据包中某些值的界线搜查不正确造成的。进攻者可以通过向受影响的装备发送恶意数据包来操作此裂痕。处理赏罚数据包时，也许会产生可操作的缓冲区溢出环境。” “CVE-2020-3205”裂痕是因为通讯数据包验证不敷而引起的，而且也许应承未经身份验证的相邻进攻者在受影响装备的假造装备处事器（VDS）上执行恣意Shell呼吁。进攻者可以操作此裂痕通过向受影响的装备发送恶意数据包。 ”乐成的操作此裂痕也许使进攻者可以或许以Root(最高权限) 用户的特权在VDS的Linux shell上下文中执行恣意呼吁 。因为该装备是在假造机打点措施系统布局上计划的，因此操作VM间通讯的裂痕也许会导致整个体系瘫痪。“ 早在6月1日，思科还宣布了另一份通告，公布已修复了思科NX-OS（Nexus Operating System，数据中心Nexus系列互换机操纵体系）软件收集仓库中的一个裂痕RFC2003 IP-in-IP(代号CVE-2020-10136)。思科指出，该裂痕是由受影响的装备引起的，未经身份验证的进攻者可觉适当地设置的IP地点的IP数据包中解封装和处理赏罚IP，可以通过易受进攻的装备路由收集流量，信息走漏和绕过收集会见节制。 文章来历：https://www.scmagazine.com/home/security-news/vulnerabilities/cisco-security-advisories-address-47-flaws-three-critical/ （编辑：湖南网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
