思科已经注意到并修复了其SD-WAN软件产品组合中的两个严重漏洞和多个高级漏洞。

大多数漏洞可能使经过身份验证的攻击者对受影响的设备执行命令注入攻击，从而使攻击者能够利用设备上的root权限。

第一个关键漏洞是，Cisco SD-WAN vManage软件基于Web的管理界面中的漏洞，该漏洞在通用评分系统中的评分为9.9（满分10）。

思科表示：

此漏洞是由于对用户提供的设备模板配置输入进行不正确的输入验证造成的。攻击者可以通过向设备模板配置提交特制的输入来利用此漏洞。成功利用此漏洞可以使攻击者获得对受攻击系统的root级别访问。

该公司表示，此漏洞仅影响Cisco SD-WAN vManage产品。

第二个严重的思科SD-WAN软件问题——CVSS评分为9.8——可能会让未经身份验证的远程攻击者会造成缓冲区溢出。

思科表示：

该漏洞是由于IP流量处理不当所致。攻击者可以利用这个漏洞，通过受影响的设备发送特制的IP流量，这在处理流量时可能导致缓冲区溢出。成功利用此漏洞可能使攻击者能够以root权限在底层操作系统上执行任意代码。

思科已经发布了解决这两个关键漏洞的软件更新。Cisco SD-WAN软件命令行界面中的其他漏洞被评为等级较高，包括：

· Cisco SD-WAN软件CLI中的一个漏洞，可以允许经过身份验证的、拥有只读凭证的本地攻击者注入任意命令，从而允许攻击者获得根权限，并读取、写入和删除受影响设备的底层文件系统的文件。思科指出，此漏洞是由于对CLI上用户提供的输入验证不足造成的。思科称，攻击者可以通过受攻击设备的CLI以只读权限进行身份验证，并向受影响命令提交特制的输入，从而利用此漏洞进行攻击。

· Cisco SD-WAN软件CLI中的一个漏洞可能会让具有只读凭据的经过身份验证的本地攻击者注入任意命令，从而使攻击者获得根权限并读取、写入和删除受影响设备的底层文件系统的文件。“此漏洞是由于对CLI上用户提供的输入验证不足造成的。攻击者可以通过受攻击设备的CLI通过只读权限进行身份验证，然后将特制的输入提交给受攻击的命令，从而利用此漏洞。成功的利用可以使攻击者能够以root用户权限在设备上执行任意命令。”

· CLI的另一个漏洞是，经过身份验证的本地攻击者可以使用只读凭据来注入任意命令，这些命令可以使攻击者获得root用户权限并从受攻击设备的基础文件系统中读取文件。此漏洞是由于对SD-WAN CLI上用户提供的输入验证不足造成的。思科称，攻击者可以通过受攻击的设备的CLI，以只读权限进行身份验证，然后将特制的输入提交给受攻击的命令，从而利用此漏洞进行攻击。

在同一安全顾问包中思科为其DNA Center软件发布了重要补丁。该公司特别指出，Cisco DNA Center的Command Runner工具存在CVSS等级9.6的漏洞，可以让经过身份验证的远程攻击者执行命令注入攻击。攻击者可以通过在命令执行期间提供特制的输入或通过特制的命令运行程序API调用来利用此漏洞。成功利用此漏洞可以使攻击者能够在Cisco DNA Center管理的设备上执行任意CLI命令。思科称，此漏洞会影响到1.3.1.0之前发布的思科DNA中心软件版本。

其他与DNA Center相关的安全公告包括：

· Cisco DNA中心配置存档功能中的一个漏洞可以允许任何权限级别身份验证的远程攻击者获得管理设备完整未屏蔽运行配置。此漏洞影响2.1.2.0之前的Cisco DNA Center Software版本。

· DNA Center Software基于Web的管理界面中的一个漏洞，可以让未经身份验证的远程攻击者实施跨站请求伪造(CSRF)攻击，操纵一个经过身份验证的用户在他们不知情或不同意的情况下执行恶意操作。

思科已经针对其列出的所有漏洞发布了软件修复程序。有关更多信息，可以单击此处。

本文翻译自：https://www.networkworld.com/article/3604310/cisco-tags-critical-security-holes-in-sd-wan-software.html如若转载，请注明原文地址