搜索

[12445] 2018-03-09_思科产品中存在严重硬编码密码漏洞和Java反序列化漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-03-09_思科产品中存在严重硬编码密码漏洞和Java反序列化漏洞 思 科 产 品 中 存 在 严 重 硬 编 码 密 码 漏 洞 和 J a v a 反 序 列 化 漏 洞 A n g e l a Y   F r e e B u f   2 0 1 8 - 0 3 - 0 9 近 日 ， 思 科 发 布 了 近 日 ， 思 科 发 布 了   2 2   条 安 全 公 告 ， 其 中 包 括 两 条 重 要 的 修 复 方 案 ： 修 复 一 个 硬 编 码 密 码 漏 洞 （ 条 安 全 公 告 ， 其 中 包 括 两 条 重 要 的 修 复 方 案 ： 修 复 一 个 硬 编 码 密 码 漏 洞 （   C V E - 2 0 1 8 - 0 1 4 1 ） 和 一 个 ） 和 一 个   J a v a   反 序 列 化 漏 洞 （ 反 序 列 化 漏 洞 （ C V E - 2 0 1 8 - 0 1 4 7 ） 。 ） 。 硬 编 码 密 码 漏 洞 硬 编 码 密 码 漏 洞 硬 编 码 密 码 漏 洞 影 响 思 科 的   P r i m e   C o l l a b o r a t i o n   P r o v i s i o n i n g （ P C P ） 产 品 ， 该 产 品 的 主 要 作 用 是 让 管 理 员 远 程 安 装 并 维 护 思 科 内 部 部 署 的 通 信 设 备 （ 集 成   I P   电 话 、 视 频 、 语 音 邮 件 ） 及 其 订 阅 用 户 的 相 关 服 务 。 思 科   P C P   通 常 安 装 在 L i n u x   服 务 器 上 。 未 认 证 的 本 地 攻 击 者 可 以 利 用 这 个 漏 洞 ， 感 染 位 于 同 一 网 络 中 的 其 他 设 备 ， 将 其 作 为   S S H   连 接 到 受 影 响 的 系 统 ， 把 权 限 提 升 到   r o o t   级 别 ， 进 而 接 管 整 个 系 统 （ P C P   的   L i n u x   操 作 系 统 ） 。 按 照   C V S S   漏 洞 评 分 （ 满 分   1 0   分 ） ， 硬 编 码 密 码 漏 洞 只 有   5 . 9 ， 属 于 中 危 级 别 。 思 科 在 内 部 安 全 测 试 过 程 中 发 现 了 这 漏 洞 ， 由 于 可 能 存 在 未 被 重 视 的 不 安 全 环 境 ， 可 能 导 致 攻 击 者 获 取   r o o t   权 限 ， 因 此 将 其 评 委 “ 严 重 高 危 ” 。 思 科 表 示 ， 该 漏 洞 目 前 只 影 响   2 0 1 6   年 发 布 的   P C P   1 1 . 6   版 本 ， 建 议 用 户 尽 快 升 级 到 打 过 补 丁 的   P C P   1 2 . 1   版 本 ， 避 免 安 全 问 题 。 J a v a   反 序 列 化 漏 洞 反 序 列 化 漏 洞 另 一 个 比 较 受 重 视 的 漏 洞 是   J a v a   反 序 列 化 漏 洞 ， 影 响 思 科 的 安 全 访 问 控 制 系 统 （ A C S ） 。 由 于 受 影 响 的 软 件 试 图 反 序 列 化 用 户 提 供 的 内 容 时 ， 远 程 攻 击 者 可 以 利 用 这 个 漏 洞 ， 无 需 提 供 正 确 凭 证 就 能 发 送 精 心 设 计 的 序 列 化   J a v a   对 象 ， 获 取   r o o t   权 限 并 执 行 任 意 命 令 。
按 照   C V S S   漏 洞 评 分 （ 满 分   1 0   分 ） ， 这 个 漏 洞 得 分 为   9 . 8   分 ， 属 于 严 重 漏 洞 ， 影 响   5 . 8   p a t c h   9   版 本 之 前 所 有 版 本 的 思 科 安 全   A C S   系 统 。 不 过 ， 运 行   5 . 8   p a t c h   7   版 本 和   5 . 8   p a t c h   8   版 本 的 系 统 需 要 提 供 凭 证 才 能 利 用 ， 因 此   C V S S   漏 洞 评 分 为   8 . 8 。 思 恩 客 建 议 用 户 尽 快 将 系 统 升 级 到 最 新 版 本 ， 并 参 考 安 全 公 告 进 行 安 全 更 新 。 * 参 考 来 源 ： 参 考 来 源 ： T h e H a c k e r N e w s ， ， A n g e l a Y   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理