【漏洞通告】Cisco多个产品高危漏洞通告
2020-11-20
一. 漏洞概述
近日，海王捕鱼监测到Cisco发布安全通告，修复其多个产品和组件中的安全漏洞。本次更新修复的安全漏洞一共19个，其中有3个漏洞评级为严重，3个漏洞评级为高危，13个漏洞评级为中危。3个严重漏洞描述如下，请相关用户尽快采取措施进行防护。
Cisco IMC远程代码执行漏洞（CVE-2020-3470）：
思科集成管理控制器（IMC）的API中存在远程代码执行漏洞,由于对用户输入内容d 验证不足所导致；未经授权的攻击者可通过向受影响的系统发送特制的HTTP请求，成功利用此漏洞可使用管理员权限在系统上执行任意代码。
Cisco IoT FND REST API验证绕过漏洞（CVE-2020-3531）:
Cisco IoT Field Network Director（FND）的REST API中存在验证绕过漏洞。未经授权的攻击者通过获取跨站点请求伪造（CSRF）令牌并发送特制数据包，可访问受影响系统的后端数据接口，从而获取敏感数据及设备操作权限。
Cisco DNA Spaces Connector命令注入漏洞（CVE-2020-3586）：
思科DNA空间连接器的Web管理页面存在命令注入漏洞，由于系统对用户输入的验证不足所导致，未经授权的远程攻击者通过向受影响的服务器发送特制的HTTP请求，成功利用此漏洞能够在目标操作系统上执行任意命令。
参考链接：
https://tools.cisco.com/security/center/publicationListing.x
二. 影响范围
Cisco IMC远程代码执行漏洞（CVE-2020-3470）
受影响版本
5000 Series Enterprise Network Compute System (ENCS)平台
Standalone mode下的UCS C-Series Rack Servers
UCS E-Series Servers
Standalone mode下的UCS S-Series Servers
Cisco IoT FND REST API验证绕过漏洞（CVE-2020-3531）
受影响版本
Cisco IoT FND < 4.6.1
不受影响版本
Cisco IoT FND >= 4.6.1
Cisco DNA Spaces Connector命令注入漏洞（CVE-2020-3586）
受影响版本
Cisco DNA Spaces Connector <= 2.2
不受影响版本
Cisco DNA Spaces Connector >= 2.3
三. 漏洞防护
3.1 官方升级
目前思科官方已针对此次通告的漏洞发布了修复版本，请受影响的用户尽快升级版本进行防护，官方下载链接：https://software.cisco.com/download/find
3.2 临时缓解措施
若相关用户暂时无法通过升级对CVE-2020-3470进行防护，可禁用Cisco IMC Web管理界面进行缓解：
以下为UCS C-Series Server的配置示例：
|
xxxxxx-bmc# scope http xxxxxx-bmc /http # set enabled no SSH is in enabled state. Disabling HTTP service xxxxxx-bmc /http *# commit xxxxxx-bmc /http # show detail HTTP Settings: HTTP Port: 80 HTTPS Port: 443 Timeout: 1800 Max Sessions: 4 Active Sessions: 0 Enabled: no HTTP Redirected: yes xxxxxx-bmc /http # exit |
注：将“enabled”设置为“no”将断开所有运行中的HTTP连接，且无法通过WebUI进行登录。
声明
本安全公告仅用来描述可能存在的安全问题，海王捕鱼不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海王捕鱼以及安全公告作者不为此承担任何责任。
海王捕鱼拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海王捕鱼允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于海王捕鱼
海王捕鱼集团股份有限公司（简称海王捕鱼）成立于2000年4月，总部位于北京。在国内外设有40个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，海王捕鱼在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
海王捕鱼集团股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：海王捕鱼，股票代码：300369。
