【漏洞通告】Cisco多个产品高危漏洞

通告编号:NS-2020-0068

2020-11-19

1

漏洞概述

近日，绿盟科技监测到Cisco发布安全通告，修复其多个产品和组件中的安全漏洞。本次更新修复的安全漏洞一共19个，其中有3个漏洞评级为严重，3个漏洞评级为高危，13个漏洞评级为中危。3个严重漏洞描述如下，请相关用户尽快采取措施进行防护。

Cisco IMC远程代码执行漏洞（CVE-2020-3470）：

思科集成管理控制器（IMC）的API中存在远程代码执行漏洞,由于对用户输入内容d 验证不足所导致；未经授权的攻击者可通过向受影响的系统发送特制的HTTP请求，成功利用此漏洞可使用管理员权限在系统上执行任意代码。

Cisco IoT FND REST API验证绕过漏洞（CVE-2020-3531）:

Cisco IoT Field Network Director（FND）的REST API中存在验证绕过漏洞。未经授权的攻击者通过获取跨站点请求伪造（CSRF）令牌并发送特制数据包，可访问受影响系统的后端数据接口，从而获取敏感数据及设备操作权限。

Cisco DNA Spaces Connector命令注入漏洞（CVE-2020-3586）：

思科DNA空间连接器的Web管理页面存在命令注入漏洞，由于系统对用户输入的验证不足所导致，未经授权的远程攻击者通过向受影响的服务器发送特制的HTTP请求，成功利用此漏洞能够在目标操作系统上执行任意命令。

参考链接：

https://tools.cisco.com/security/center/publicationListing.x

SEE MORE →

2影响范围

Cisco IMC远程代码执行漏洞（CVE-2020-3470）

受影响版本

• 5000 Series Enterprise Network Compute System (ENCS)平台
• Standalone mode下的UCS C-Series Rack Servers
• UCS E-Series Servers
• Standalone mode下的UCS S-Series Servers

Cisco IoT FND REST API验证绕过漏洞（CVE-2020-3531）

受影响版本

• Cisco DNA Spaces Connector <= 2.2

不受影响版本

• Cisco DNA Spaces Connector >= 2.3

Cisco DNA Spaces Connector命令注入漏洞（CVE-2020-3586）

受影响版本

• Cisco IoT FND < 4.6.1

不受影响版本

• Cisco IoT FND >= 4.6.1

4漏洞防护

4.1 官方升级

目前思科官方已针对此次通告的漏洞发布了修复版本，请受影响的用户尽快升级版本进行防护，官方下载链接：https://software.cisco.com/download/find

4.2 修复补丁

若相关用户暂时无法通过升级对CVE-2020-3470进行防护，可禁用Cisco IMC Web管理界面进行缓解：

以下为UCS C-Series Server的配置示例：

注：将“enabled”设置为“no”将断开所有运行中的HTTP连接，且无法通过WebUI进行登录。

END