0
雷鋒網(wǎng)消息，1月31日，據(jù)外媒報(bào)道，思科公司已經(jīng)發(fā)布了軟件補(bǔ)丁，修復(fù)了影響運(yùn)行自適應(yīng)安全設(shè)備（ASA）軟件的思科設(shè)備主要漏洞。
思科自適應(yīng)安全設(shè)備軟件，是思科ASA家族系列設(shè)備的核心操作系統(tǒng)。思科ASA家族產(chǎn)品是一種以防火墻、防病毒、入侵防御和虛擬專(zhuān)用網(wǎng)絡(luò)（VPN）等功能為一體的安全網(wǎng)絡(luò)設(shè)備系列。
根據(jù)此前發(fā)布的安全通報(bào)，較老版本的思科自適應(yīng)安全設(shè)備軟件，會(huì)因?yàn)椴僮飨到y(tǒng)的安全套接層協(xié)議層（SSL）VPN功能漏洞而受到影響。
雷鋒網(wǎng)了解到，這一漏洞（CVE-2018-0101）將會(huì)導(dǎo)致以下思科ASA設(shè)備受到影響——不過(guò)，只有當(dāng)“webvpn”功能啟動(dòng)時(shí)，漏洞才會(huì)生效。
-3000系列工業(yè)安全設(shè)備（ISA）
-ASA 5500系列自適應(yīng)安全設(shè)備
-ASA 5500-X系列下一代防火墻
-用于Cisco Catalyst 6500系列交換機(jī)和Cisco 7600系列路由器的ASA服務(wù)模塊
-ASA 1000V云防火墻
-自適應(yīng)安全虛擬設(shè)備（ASAv）
-Firepower 2100系列安全設(shè)備
-Firepower 4110安全設(shè)備
-Firepower 9300 ASA安全模塊
-Firepower威脅防御軟件（FTD）
思科公司表示，攻擊者可以將格式錯(cuò)誤的XML數(shù)據(jù)包發(fā)送到這些設(shè)備，然后在上面執(zhí)行惡意代碼。根據(jù)代碼的性質(zhì)，攻擊者可以控制被感染的設(shè)備。
該漏洞的CVSS安全嚴(yán)重等級(jí)評(píng)分為最高級(jí)10分，這意味著它很容易被黑客遠(yuǎn)程利用（降低了攻擊代碼的復(fù)雜性），而且無(wú)需在設(shè)備上進(jìn)行任何認(rèn)證。
斯克表示，他們最近已經(jīng)公開(kāi)了有關(guān)漏洞細(xì)節(jié)，但是沒(méi)有發(fā)現(xiàn)任何利用這個(gè)漏洞的攻擊行為。
NCC Group的Cedric Halbronn最先發(fā)現(xiàn)了該漏洞，并且向思科報(bào)告了這個(gè)問(wèn)題。目前，思科公司已經(jīng)發(fā)布了數(shù)個(gè)更新。此外，思科的CWE-415安全建議中還提供了一個(gè)列表，其中有修復(fù)發(fā)布的ASA軟件版本號(hào)。
不過(guò)，思科公司稱(chēng)目前沒(méi)有解決此漏洞的方案，因此用戶(hù)必須禁用ASA VPN功能，或是安裝更新的操作系統(tǒng)版本。
事實(shí)上，嚴(yán)重等級(jí)為最高級(jí)10的漏洞非常少見(jiàn)，但是當(dāng)其出現(xiàn)時(shí)，往往很容易被黑客利用。去年，甲骨文公司也曾受到類(lèi)似的問(wèn)題影響。
雷鋒網(wǎng)VIA bleepingcomputer
雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
