思科已修补 IOS XE 软件的三个关键漏洞
IOS XE软件被用于各种核心路由器和交换机,思科已经修复了该软件的三个关键安全漏洞。
这三个严重的警告是思科发布的32个安全警告的一部分，包括防火墙、SD-WAN和无线访问漏洞。
最严重的安全漏洞发现于Cisco Catalyst 9000系列无线控制器的Cisco IOS XE软件，它在通用漏洞评分系统(CVSS)上被评为10分(满分10分)。
该漏洞有概率允许未经身份验证的远程攻击者使用管理权限执行任意代码，或在易受攻击的设备上触发DoS拒绝服务攻击。攻击者可以通过向受影响的设备发送一个精心 *** 的CAPWAP数据包来利用这个漏洞。CAPWAP是一种 *** 协议，允许用户集中管理无线接入点。
思科表示，攻击成功的话，攻击者便使用管理权限执行任意代码，或导致受影响的设备崩溃和重新加载，从而导致DoS攻击。
第二个关键漏洞——具有9.8 CVSS评级——对思科IOS XE SD-WAN软件造成了影响，并可能让攻击者在SD-WAN设备上触发缓冲区溢出。
思科表示:“这个漏洞是由于受影响设备处理流量时边界检查不足造成的。”“攻击者可以通过向设备发送特制流量来利用这个漏洞。设备手攻击可能会导致缓冲区溢出，并可能使用根权限执行任意命令，或导致设备重新加载，从而导致DOS攻击。”
第三个关键漏洞也有9.8 CVSS评级,这个漏洞与思科IOS XE软件的身份验证、授权、和记账功能(AAA)有关,该漏洞允许攻击者绕过NETCONF或RESTCONF认证，安装、操作或删除受影响的配置设备,造成内存泄露,导致DoS攻击。
Cisco表示:“漏洞利用如果成功，攻击者便可使用NETCONF或RESTCONF安装、操纵或删除 *** 设备的配置，或损坏设备上的内存，从而导致DoS攻击。”
思科表示，有一个解决这一漏洞的办法:删除启用密码，并配置启用密码。还有一种降低漏洞攻击伤害的 *** :限制该漏洞的攻击面，确保为NETCONF和RESTCONF配置了访问控制列表，以防止来自不受信任子网的访问尝试。
思科已发布免费软件更新，用以解决关键漏洞。
消息来源：ARNNet，译者：Zoeppo；
本文由 HackerNews.cc 翻译整理，封面来源于 *** ；
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“思科已修补 IOS XE 软件的三个关键漏洞” 的相关文章
“Hack DHS”漏洞猎人在国土安全部系统中发现 122 个安全漏洞
据美国国土安全部（DHS）近日透露，加入“Hack DHS”漏洞赏金项目（bug bounty program）的赏金猎人已经在国土安全部的外部系统中发现了122个安全漏洞，其中27个被评估为严重漏洞。 据悉，国土安全部已向450多名经审查的安全研究人员和道德黑客发放了总计125,600美元的奖金...
研究人员通过人工智能利用推特预测粮食短缺问题
宾夕法尼亚州立大学和卡塔尔哈马德-本-哈利法大学的研究人员表示，推特上的推文所表达的情绪和情感可以被实时用来评估大流行病、战争或自然灾害供应链中断可能导致的粮食短缺。 他们发现，在COVID-19大流行的早期，在美国某些州，表达愤怒、厌恶或恐惧的与食品安全有关的推文与实际的食品不足密切相关。研究人员...
乌克兰安全局宣称逮捕了协助俄军开展通讯中继服务的黑客
Vice 报道称，在最近一次行动中，乌克兰安全局（SBU）声称抓获了一名在乌境内为俄军提供通信服务的黑客。在当天上午 10 点发布的推文和电报消息中，SBU 分享了本次行动的诸多细节。尽管尚未得到另一独立消息源的证实，但我们已经看到了面部打码的黑客、以及所谓的通信系统照片。 电报帖子指出，黑客...
DLL 反制：安全研究人员提出阻止勒索软件加密文件的新策略
尽管恶意软件开发者擅长利用各种软硬件漏洞来达成目的，但他们散播的成品也并非毫无破绽。比如近日，安全研究人员 John Page（又名 hyp3rlinx）就介绍了一招反制勒索软件的新套路。由个人网站和 Twitter 账号上发布的内容可知，John Page 专精于找到恶意软件本身的漏洞，并于近日分...
Android 被爆安全漏洞 根源是苹果的无损音频编解码器
近日 Android 设备被爆存在安全漏洞，但根源来自于苹果的无损音频编解码器（ALAC）。目前，美国市场 95% 的 Android 设备来自于高通和联发科，安全公司 Check Point 指出尚未安装 2021 年 12 月 Android Security Patch 的设备都存在“Out-...
英国监管机构要求运营商关闭加密货币 ATM 机
在英国，购买比特币最简单、最匿名的方式之一是前往选定的商店，使用比特币自动取款机，你只需存入现金，然后将比特币发送到你的比特币钱包。英国金融行为监管局（FCA）现在正命令经营这些自动取款机的公司关闭它们，因为它们没有实施旨在防止洗钱的KYC措施。 要在英国运营，加密货币自动取款机应在FCA注册，并...
评论列表
发表评论
