思科發布概念驗證（PoC）漏洞利用代碼補丁

思科安全管理器中存在一個嚴重的路徑遍歷漏洞（CVE-2020-27130），該漏洞將敏感信息暴露給未經身份驗證的遠程攻擊者。

在思科安全管理器中的一個嚴重漏洞的概念驗證(poc)漏洞代碼發布一天后，思科匆忙發布了補丁。

思科安全管理器是企業管理員的端到端安全管理應用程序，使他們能夠執行各種安全策略，對安全事件進行故障排除并管理各種設備。該應用程序具有一個漏洞，該漏洞可能允許未經身份驗證的遠程攻擊者訪問受影響系統上的敏感數據。該漏洞（CVE-2020-27130）的CVSS評分為9.1（滿分10分），屬于嚴重漏洞。

思科在周二的分析中說： “攻擊者可以通過向受影響的設備發送精心設計的請求來利用此漏洞。” “成功利用漏洞可以使攻擊者從受影響的設備下載任意文件。”

據思科稱，該漏洞源于對受影響設備的請求中目錄遍歷字符序列的不正確驗證。路徑遍歷攻擊旨在訪問存儲在Web根文件夾外部的文件和目錄。如果攻擊者操縱引用文件的變量（使用“ ..”），則可以訪問存儲在文件系統上的任意文件和目錄，例如應用程序源代碼或配置文件和關鍵系統文件。

安全研究員Florian Hauser周一在線發布了針對PoC漏洞的漏洞利用以及Cisco Security Manager中的其他11個問題。Hauser在周一的一條推文中說，他先前已在120天前報告了這些漏洞-但是，思科“變得反應遲鈍，而已發布的4.22版仍然沒有提及任何漏洞。”

在星期二的后續推文中，豪瑟說：“與思科的通話很愉快！確實也實施了缺少的漏洞修復程序，但需要進一步測試。SP1將在未來幾周內發布。我們現在找到了一種很好的協作模式。”

該漏洞影響Cisco Security Manager 4.21和更早版本。此問題在Cisco Security Manager版本4.22中已解決。

其他安全管理器漏洞

思科周二還披露了Cisco Security Manager中的兩個高嚴重性漏洞。其中一項（CVE-2020-27125是由于對受影響的軟件中的靜態憑據沒有足夠的保護。據思科稱，此缺陷可能允許未經身份驗證的遠程攻擊者訪問受影響系統上的敏感信息。

思科稱：“攻擊者可以通過查看源代碼來利用此漏洞。” “成功利用漏洞可以使攻擊者查看靜態憑據，攻擊者可以使用這些憑據來進行進一步的攻擊。”

另一個漏洞存在于Cisco Security Manager使用的Java反序列化功能中，并且可能允許未經身份驗證的遠程攻擊者在受影響的設備上執行任意命令。

思科稱，該漏洞（CVE-2020-2713）源自受影響軟件對用戶提供的內容進行的不安全反序列化。

思科的建議說：“攻擊者可以通過將惡意的序列化Java對象發送給受影響的系統上的特定偵聽器來利用這些漏洞。” “成功利用漏洞可以使攻擊者使用Windows目標主機上的NT AUTHORITY \ SYSTEM特權在設備上執行任意命令。”

思科最近已經解決了其產品線中的各種漏洞。上周，這家網絡巨頭警告說，思科的IOS XR軟件存在嚴重漏洞，該漏洞可能允許未經身份驗證的遠程攻擊者削弱思科聚合服務路由器（ASR）。思科最近還公開了 其AnyConnect安全移動客戶端軟件的Windows，macOS和Linux版本中的零日漏洞。