使用思科自动化软件或Nexus套件的管理员现在应该进行补丁

在告知客户修补核心网络管理产品一周后，思科公布了另外两个影响其数据中心软件的高度严重的安全漏洞。

新披露的漏洞会影响思科的数据中心网络管理器(DCNM)软件，并再次出现在其基于Web的管理界面中。

这两个漏洞都可以被互联网上的任何人利用并被评为严重，严重等级为9.8(满分10分)。

DCNM是所有在数据中心使用思科Nexus硬件的NX-OS系统的网络管理系统。该软件用于自动配置，故障排除和发现配置错误。

换句话说，对于使用Nexus交换机的组织来说，它是一个至关重要的软件，其NX-OS操作系统在5月份获得了同样严重缺陷的补丁。

第一个问题CVE-2019-1619是DCNM Web界面中的身份验证绕过，允许攻击者在不知道管理员用户密码的情况下获取有效的会话cookie。

攻击者需要向受影响设备上未公开但特定的Web servlet发送特制的HTTP请求以获取该会话cookie。如果攻击者获得cookie，他们将能够以管理权限控制设备。

思科现已在DCNM软件版本11.1(1)中删除了该特定的Web servlet。但是，它已经在版本11.0(1)中弃用了servlet，这意味着它已经删除了该版本中的攻击向量。

该公司敦促客户升级到5月初发布的 DCNM软件版本11.1(1)。思科敦促客户升级到11.1(1)或更高版本以解决此问题。

第二个漏洞将允许互联网上的任何人在受影响设备上的DCNM文件系统上传恶意文件。同样，这个错误是由于思科在6月份发布的软件版本11.2(1)中完全删除的一个未公开但具体的Web服务器。

“该漏洞是由于受影响的DCNM软件中的权限设置不正确。攻击者可以通过将特制数据上传到受影响的设备来利用此漏洞，”思科 在其针对CVE-2019-1620错误的公告中解释道。

“成功的攻击可能允许攻击者在文件系统上写入任意文件，并在受影响的设备上以root权限执行代码。”

虽然DCNM版本11.2(1)及更高版本的客户应该是安全的，但思科指出，针对版本11.1(1)的攻击者可以获得对受影响的Web servlet的未经身份验证的访问并利用该漏洞。在11.0(1)版本中，攻击者需要通过DCNM Web界面进行身份验证才能利用它。

两个错误都是由Pedro Ribeiro发现的，他通过iDefense的漏洞贡献者计划报告了这个漏洞。思科表示目前尚未发现任何利用这些漏洞的攻击。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！