思科宣布多个高危误差危害通告

宣布时间 2020-03-06

误差编号和级别


CVE编号：CVE-2020-3127，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.8，，，，，官方未评定

CVE编号：CVE-2020-3128，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.8，，，，，官方未评定

CVE编号：CVE-2020-3148，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.1，，，，，官方未评定

CVE编号：CVE-2020-3155，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：7.4，，，，，官方未评定


影响版本


CVE编号

影响产品

CVE-2020-3127

CVE-2020-3128

Cisco Webex   Meetings — All Webex Network Recording Player and Webex Player releases   earlier than Release WBS 39.5.17 or WBS 39.11.0

Cisco Webex   Meetings Online — All Webex Network Recording Player and Webex Player   releases earlier than Release 1.3.49

Cisco Webex   Meetings Server — All Webex Network Recording Player releases earlier than   Release 3.0MR3SecurityPatch1 and 4.0MR2SecurityPatch2

CVE-2020-3148

Cisco Prime   Network Registrar releases earlier than 10.1

CVE-2020-3155

Cisco Intelligent   Proximity application

Cisco Jabber

Cisco Webex   Meetings

Cisco Webex Teams

Cisco Meeting App


误差概述


3月4日思科宣布了产品清静更新，，，，，修复多个误差，，，，，包括4个高危误差，，，，，概述如下：


CVE-2020-3127/CVE-2020-3128

Cisco Webex Network Recording Player是美国思科（Cisco）公司的一款用于播放视频聚会纪录的播放器。。。。。。。


基于Windows平台的Cisco Webex Network Recording Player和Cisco Webex Player中保存输入验证过失误差，，，，，该误差源于程序没有充分验证ARF或WRF名堂下的Webex纪录信息。。。。。。。攻击者可通过发送恶意的ARF或WRF文件使用该误差以目的用户权限在系统上执行恣意代码。。。。。。。


CVE-2020-3148

Cisco Prime Network Registrar（CPNR）是美国思科（Cisco）公司的一款网络注册器产品。。。。。。。该产品提供了动态主机设置协议（DHCP）、域名系统（DNS）和IP地点治理（IPAM）等效劳。。。。。。。


Cisco CPNR 10.1之前版本（releases）中基于Web的接口保存跨站请求伪造误差，，，，，该误差源于程序没有举行充分的跨站请求伪造保�；；；�。。。。。。。远程攻击者可通过诱使用户点击恶意链接使用该误差修改装备设置，，，，，进而可以编辑或建设恣意权限用户的账户。。。。。。。


CVE-2020-3155

Cisco Intelligent Proximity solution中的SSL实现保存信任治理问题误差，，，，，该误差源于缺少对SSL效劳器证书的验证。。。。。。。远程攻击者可通过使用中心人手艺，，，，，阻挡受影响客户端和端点之间的流量并使用伪造的证书来冒充端点使用该误差审查或修改信息。。。。。。。


误差验证


暂无PoC/EXP。。。。。。。


修复建议


现在厂商已宣布CVE-2020-3127/CVE-2020-3128，，，，，CVE-2020-3148的升级补丁以修复误差，，，，，补丁获取链接：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200304-webex-player

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cpnr-csrf-WWTrDkyL


CVE-2020-3155的升级补丁还未宣布，，，，，只有缓解步伐，，，，，详见链接：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-proximity-ssl-cert-gBBu3RB


参考链接


https://tools.cisco.com/security/center/publicationListing.x