思科今天更新了两个“紧急”的安全通告，一个针对 Cisco互联网操作系统（IOS） 和Cisco IOS XE Software，另一个针对问题不断的 Apache Struts2 ，确认了两个漏洞对于思科产品的影响列表（密密麻麻数不清，大家点文末的官方文档，自己看吧），并给出了临时应对措施。在此之前，绿盟科技 曾就前一个漏洞 CVE-2017-3881 作出应对措施的整理 。
思科集群管理协议漏洞CVE-2017-3881
思科表示， IOS漏洞存在于Cisco IOS和Cisco IOS XE Software的负责代码处理的思科集群管理协议（CMP）中，未经验证的远程攻击者可利用该漏洞使受影响的设备重载或提升权限远程执行代码 。
该漏洞或波及广泛的交换机和软件，从Cisco Catalyst 2350-48TD-S交换机到Cisco SM-X Layer 2/3 EtherSwitch服务模块。思科说道，
“集群管理协议利用Telnet作为集群成员之间的内部信令和指令协议。该漏洞由以下两种因素导致：未能将CMP特定的Telnet的选项仅限于集群成员之间的本地通信中，而是对受影响设备的Telnet连接的这些选项进行接受和处理，未能正确处理不正常的CMP特定选项。”
通告中还提到，
“攻击者可利用该漏洞，在与受影响思科设备建立Telnet会话（若该设备接受Telnet连接）时发送畸形的CMP特定Telnet选项。成功利用漏洞后，攻击者可执行任意代码，完全控制或重载设备。”
思科表示会发布软件修复此漏洞，但目前尚无修复方案。
应对措施见文末下载
思科Apache Struts2漏洞CVE-2017-5638
关于另一个紧急警告 ，思科表示， Apache于2017年3月6日在Apache Struts2的Jakarta Multipart解析器中发现了漏洞 ，攻击者可利用该漏洞，通过使用特制的“ Content-Type ” 、 “ Content-Disposition ” 或 “ Content-Length ” 值在目标系统上远程执行命令。
思科说目前正在对产品线进行调查，弄清该漏洞会波及哪些设备，产生怎样的影响。思科表示，受影响的设备包括Cisco SocialMiner、身份服务引擎（ISE）、Prime许可管理器等。
应对措施见文末下载
3月思科在Apache问题上问题频发
自3月以来，思科已针对Apache问题发布了一系列警告。
3月16日，思科的安全团队将Apache Struts中的另一漏洞评为“紧急”，并公布了受影响的设备，包括思科统一通信管理器IM和在线状态服务、思科统一通信管理器会话管理版、以及思科统一通信管理器。思科表示，已发布了补丁，修复所有受影响设备中的问题。
两个漏洞的应对措施下载
思科集群管理协议漏洞CVE-2017-3881 ，点击图片下载
思科Apache Struts2漏洞CVE-2017-5638 ，点击图片下载
原文发布时间：2017年4月17日
本文由：csoonline发布，版权归属于原作者
原文链接:http://toutiao.secjia.com/cisco-vulnerabilities-cve-2017-3881-cve-2017-5638
本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站
