思科又发紧急安全通告 IOS集群管理协议漏洞和Struts2漏洞有影响产品列表及应对措施了-阿里云开发者社区

思科又发紧急安全通告 IOS集群管理协议漏洞和Struts2漏洞有影响产品列表及应对措施了

2017-09-01 1147

简介：

+关注继续查看

思科今天更新了两个“紧急”的安全通告，一个针对 Cisco互联网操作系统（IOS）和Cisco IOS XE Software，另一个针对问题不断的 Apache Struts2 ，确认了两个漏洞对于思科产品的影响列表（密密麻麻数不清，大家点文末的官方文档，自己看吧），并给出了临时应对措施。在此之前，绿盟科技曾就前一个漏洞 CVE-2017-3881 作出应对措施的整理。

思科集群管理协议漏洞CVE-2017-3881

思科表示， IOS漏洞存在于Cisco IOS和Cisco IOS XE Software的负责代码处理的思科集群管理协议（CMP）中，未经验证的远程攻击者可利用该漏洞使受影响的设备重载或提升权限远程执行代码。

该漏洞或波及广泛的交换机和软件，从Cisco Catalyst 2350-48TD-S交换机到Cisco SM-X Layer 2/3 EtherSwitch服务模块。思科说道，

“集群管理协议利用Telnet作为集群成员之间的内部信令和指令协议。该漏洞由以下两种因素导致：未能将CMP特定的Telnet的选项仅限于集群成员之间的本地通信中，而是对受影响设备的Telnet连接的这些选项进行接受和处理，未能正确处理不正常的CMP特定选项。”

通告中还提到，

“攻击者可利用该漏洞，在与受影响思科设备建立Telnet会话（若该设备接受Telnet连接）时发送畸形的CMP特定Telnet选项。成功利用漏洞后，攻击者可执行任意代码，完全控制或重载设备。”

思科表示会发布软件修复此漏洞，但目前尚无修复方案。

应对措施见文末下载

思科Apache Struts2漏洞CVE-2017-5638

关于另一个紧急警告，思科表示， Apache于2017年3月6日在Apache Struts2的Jakarta Multipart解析器中发现了漏洞，攻击者可利用该漏洞，通过使用特制的“ Content-Type ” 、 “ Content-Disposition ” 或 “ Content-Length ” 值在目标系统上远程执行命令。

思科说目前正在对产品线进行调查，弄清该漏洞会波及哪些设备，产生怎样的影响。思科表示，受影响的设备包括Cisco SocialMiner、身份服务引擎（ISE）、Prime许可管理器等。