思科已經(jīng)發(fā)布了三項(xiàng)針對其某些高端軟件系統(tǒng)的“關(guān)鍵”安全建議，其中兩項(xiàng)針對其應(yīng)用服務(wù)引擎(ASE)，另一項(xiàng)針對NX-OS操作系統(tǒng)。

在最令人關(guān)注的警告來自與ASE一起安裝的思科應(yīng)用程序中心基礎(chǔ)設(shè)施(ACI)多站點(diǎn)協(xié)調(diào)器(MSO)。該漏洞被追蹤為 CVE-2021-1388，在 CVSS 漏洞評分系統(tǒng)中排名 10(滿分10分)。通過應(yīng)用程序中心基礎(chǔ)設(shè)施多占點(diǎn)協(xié)調(diào)器，客戶可以跨基于Cisco應(yīng)用程序策略基礎(chǔ)架構(gòu)控制器的光纖網(wǎng)絡(luò)控制應(yīng)用程序訪問策略。

根據(jù)該公告，安裝在ASE上的Cisco ACI MSO的API端點(diǎn)中的漏洞，未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者可以繞過受攻擊設(shè)備上的身份驗(yàn)證。成功利用此漏洞可以使攻擊者獲得具有管理員級特權(quán)的token，這些token可用于對受影響的MSO和受管理的Cisco應(yīng)用程序策略基礎(chǔ)結(jié)構(gòu)控制器(APIC)設(shè)備上的API進(jìn)行身份驗(yàn)證。

思科稱，該漏洞是由于在特定API端點(diǎn)上進(jìn)行不正確的token驗(yàn)證造成的，并且當(dāng)在Cisco ASE上部署時(shí)，它會(huì)影響運(yùn)行3.0版軟件的ACI MSO版本。

在第二個(gè)嚴(yán)重警告是關(guān)于ASE本身，思科稱，ASE存在多個(gè)漏洞(CVE-2021-1393和 CVE-2021-1396，CVSS score 9.8)，其中包括：

第一個(gè)漏洞，它使得攻擊者有權(quán)訪問運(yùn)行容器或調(diào)用主機(jī)級操作的權(quán)限。該漏洞是由于對數(shù)據(jù)網(wǎng)絡(luò)中運(yùn)行的服務(wù)的訪問控制不足所致。思科稱，攻擊者可以通過向特定服務(wù)發(fā)送特制的TCP請求來利用此漏洞。

另一個(gè)漏洞可以允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者訪問受影響的設(shè)備上的特定API。成功利用此漏洞可以使攻擊者了解特定設(shè)備的信息，在隔離的volume中創(chuàng)建技術(shù)支持文件，并進(jìn)行有限的配置更改。該漏洞是由于對數(shù)據(jù)網(wǎng)絡(luò)中運(yùn)行的API的訪問控制不足所致。攻擊者可以通過向受影響的API發(fā)送特制的HTTP請求來利用此漏洞。思科稱，成功利用此漏洞可以使攻擊者能夠了解特定設(shè)備的信息，在隔離的卷中創(chuàng)建技術(shù)支持文件，并進(jìn)行有限的配置更改。

最后一個(gè)嚴(yán)重警告針對思科Nexus交換機(jī)的NS-OX操作系統(tǒng)，評分為9.8分(滿分10分)。思科表示，運(yùn)行思科 NX-OS 軟件發(fā)行版 9.3(5)或9.3(6)的 Nexus 3000 和 Nexus 9000 交換機(jī)在默認(rèn)情況下容易受到攻擊。這可能允許惡意攻擊者參與者創(chuàng)建、刪除或覆蓋設(shè)備上具有根特權(quán)的任意文件，包括允許攻擊者在設(shè)備管理員不知情的情況下添加用戶賬戶。思科表示：“這個(gè)漏洞的存在是因?yàn)? TCP 端口9075 被錯(cuò)誤地配置為偵聽和響應(yīng)外部連接請求。攻擊者可以通過將特制的TCP 數(shù)據(jù)包發(fā)送到TCP 端口9075 的本地接口上配置的IP 地址來利用此漏洞。”

“攻擊者可以通過將特制的TCP數(shù)據(jù)包發(fā)送到TCP端口9075本地接口上配置的IP地址來利用此漏洞。成功利用該漏洞可以使攻擊者能夠創(chuàng)建、刪除或覆蓋具有根特權(quán)的任意文件，包括敏感文件?！彼伎普f，“例如，攻擊者可以在設(shè)備管理員不知情的情況下添加用戶帳戶?！?/p>

思科已經(jīng)發(fā)布了解決關(guān)鍵漏洞的免費(fèi)安全補(bǔ)丁，并建議客戶盡快訪問此處

(https://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html)以獲取更多信息。

關(guān)于NS-OX和Nexus交換機(jī)產(chǎn)品組合，思科也發(fā)布了許多其他不太嚴(yán)重的建議，其中一個(gè)警告描述了Cisco NX-OS軟件的NX-API特性中的一個(gè)漏洞，該漏洞可以讓未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者對受影響的系統(tǒng)實(shí)施跨站請求偽造(CSRF)攻擊。成功的利用可以讓攻擊者以受影響用戶的權(quán)限級別執(zhí)行任意操作。思科表示，攻擊者可以查看并修改設(shè)備配置。

另一個(gè)警告描述了Cisco Nexus 9000系列結(jié)構(gòu)交換機(jī)在以應(yīng)用程序?yàn)橹行牡幕A(chǔ)結(jié)構(gòu)(ACI)模式下的結(jié)構(gòu)基礎(chǔ)結(jié)構(gòu)VLAN連接建立中的漏洞，該漏洞可能允許未經(jīng)身份驗(yàn)證的相鄰攻擊者繞過安全驗(yàn)證并將未經(jīng)授權(quán)的服務(wù)器連接到基礎(chǔ)結(jié)構(gòu)VLAN。思科稱，通過與基礎(chǔ)架構(gòu)VLAN的連接，攻擊者可以在未經(jīng)授權(quán)的狀態(tài)下連接到Cisco APIC服務(wù)連接或加入其他主機(jī)端點(diǎn)。

思科表示已經(jīng)發(fā)布了免費(fèi)軟件更新來解決這些問題。

參考及來源：https://www.networkworld.com/article/3609510/cisco-issues-3-critical-warnings-around-aci-ns-ox-security-holes.html

原文來源：嘶吼專業(yè)版