【漏洞通告】Cisco 10月多個安全漏洞
發布時間 2021-10-280x00 漏洞概述
2021年10月27日，Cisco發布安全公告，修復了Cisco Firepower 威脅防御 (FTD)、Cisco思科自適應安全設備 (ASA)和Firepower 管理中心 (FMC)中的多個安全漏洞。
0x01 漏洞詳情
在本次修復的高危漏洞中，9個為拒絕服務漏洞，3個為命令注入漏洞，以及1個目錄遍歷漏洞：
l CVE-2021-40116：多個 Cisco 產品 Snort 規則拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-34783：思科自適應安全設備軟件和 Firepower 威脅防御軟件基于軟件的 SSL/TLS 拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-34781：思科 Firepower 威脅防御軟件 SSH 連接拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-34752、CVE-2021-34755和CVE-2021-34756：思科 Firepower 威脅防御軟件命令注入漏洞（CVSS評分：7.8）
l CVE-2021-34762：思科 Firepower 管理中心軟件身份驗證目錄遍歷漏洞（CVSS評分：8.1）
l CVE-2021-40117：思科自適應安全設備軟件和 Firepower 威脅防御軟件 SSL/TLS 拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-1573、CVE-2021-34704和CVE-2021-40118：思科自適應安全設備軟件和 Firepower 威脅防御軟件 Web 服務拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-34792：思科自適應安全設備軟件和 Firepower 威脅防御軟件資源耗盡拒絕服務漏洞（CVSS評分：8.6）
l CVE-2021-34793：思科自適應安全設備軟件和 Firepower 威脅防御軟件透明模式拒絕服務漏洞（CVSS評分：8.6）
其中，CVE-2021-34755 、CVE-2021-34756和CVE-2021-34752都是Cisco FTD 中的命令注入漏洞。由于對用戶提供的命令參數驗證不足，攻擊者可以提交惡意輸入來利用這些漏洞，前2個漏洞可以導致經過身份驗證的本地攻擊者以root權限在受影響設備的系統上執行任意命令，CVE-2021-34752可以導致經過身份驗證且具有管理權限的本地攻擊者以root權限在受影響設備的系統上執行任意命令。
CVE-2021-34762是由于思科 Firepower 管理中心 (FMC) 基于Web 的管理界面對 HTTPS URL 的輸入驗證不足，經過身份驗證的遠程攻擊者可以通過向受影響的設備發送包含目錄遍歷字符序列的惡意 HTTPS 請求來利用此漏洞，最終可以在設備上讀取或寫入任意文件。
0x02 處置建議
目前Cisco已經發布了相關補丁，建議受影響的用戶及時升級更新。
具體受影響產品及其版本和修復版本信息詳見Cisco官方安全公告：
https://tools.cisco.com/security/center/publicationListing.x
0x03 參考鏈接
https://tools.cisco.com/security/center/publicationListing.x
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-cmdinject-FmzsLN8
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-dir-traversal-95UyW5tk
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2021-10-28 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內最具實力的信息安全產品和安全管理平臺、安全服務與解決方案的領航企業之一。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系；并在華北、華東、西南和華南布局四大研發中心，分別為北京研發總部、上海研發中心、成都研發中心和廣州研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號