思科IOS XE虚拟效劳容器严重误差清静通告

宣布时间 2019-08-29

? 误差编号和级别


CVE编号：CVE-2019-12643，，，，，，，危险级别：严重，，，，，，，CVSS分值：厂商自评：10，，，，，，，官方未评定

CVE编号：CVE-2019-1962，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：8.6，，，，，，，官方未评定

CVE编号：CVE-2019-1964，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：8.6，，，，，，，官方未评定

CVE编号：CVE-2019-1963，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：7.7，，，，，，，官方未评定

CVE编号：CVE-2019-1965，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：7.7，，，，，，，官方未评定

CVE编号：CVE-2019-1966，，，，，，，危险级别：高危，，，，，，，CVSS分值：厂商自评：7.8，，，，，，，官方未评定


? 影响版本


受影响的版本


CVE-2019-12643

Cisco 4000 Series Integrated Services Routers

Cisco ASR 1000 Series Aggregation Services Routers

Cisco Cloud Services Router 1000V Series

Cisco Integrated Services Virtual Router


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


? 误差概述


思科宣布了其IOS XE操作系统的更新，，，，，，，以修补一个要害误差，，，，，，，该误差可能允许远程攻击者绕过运行过时版虚拟效劳容器的设惫亓身份验证。。。。。。。虚拟效劳容器用于在隔离情形中运行历程。。。。。。。它们作为开放虚拟应用程序（OVA）包提供，，，，，，，可以运行用于种种目的的应用程序。。。。。。。治理员可以为机械配备故障扫除工具，，，，，，，实现常见网络功效或剖析和监控的工具。。。。。。。常见的用途是扩展主机网络的功效。。。。。。。


若是通过简朴地向目的装备发送恶意HTTP请求来知足特定条件，，，，，，，则可以举行使用。。。。。。。若是治理员进入REST API接口，，，，，，，则攻击者可以获得其“令牌ID”并使用提升的权限运行下令。。。。。。。


除此转达外，，，，，，，该公司还针对影响统一盘算系统（UCS）结构互连，，，，，，，FXOS，，，，，，，NX-OS和Nexus 9000系列光纤交流机的其他九其中高级别问题宣布了清静通告。。。。。。。


在NX-OS软件中发明了四个高严重性问题。。。。。。。两个允许未经身份验证的远程攻击者使装备瓦解（CVE-2019-1962）或导致意外重启netstack历程（CVE-2019-19624）。。。。。。。另外两个允许经由身份验证的攻击者重新启动SNMP应用程序（CVE-2019-1963）或通过阻止在终止远程毗连时删除虚拟shell（VSH）历程来耗尽系统内存（CVE-2019-1965）。。。。。。。


思科的Fabric Interconnect中的高严重性问题被跟踪为CVE-2019-1966，，，，，，，并导致外地权限升级到root权限级别。。。。。。。攻击者可以使用“local-mgmt上下文中为特定CLI下令提供的无关子下令选项”。。。。。。。


? 误差验证


暂无POC/EXP。。。。。。。


? 修复建议


现在厂商已宣布升级补丁以修复误差，，，，，，，补丁获取链接：


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-iosxe-rest-auth-bypass

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-nxos-fsip-dos

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-nxos-ipv6-dos

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-fxnxos-snmp-dos

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-nxos-memleak-dos

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190828-ucs-privescalation


? 参考链接


https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-bug-in-virtual-service-container-for-ios-xe/