思科本周宣布发布针对 33 个中高危漏洞的补丁,这些漏洞影响运行思科自适应安全设备 (ASA)、Firepower 威胁防御 (FTD) 和 Firepower 管理中心 (FMC) 软件的企业防火墙产品。 最严重的安全缺陷是 CVE-2022-20927,这是 ASA 和 FTD 软件的动态访问策略 (DAP) 功能中的一个错误,允许未经身份验证的远程攻击者导致拒绝服务 (DoS) 条件。 思科解释说,由于从姿势 (HostScan) 模块接收到的数据处理不当,攻击者可以发送精心制作的 HostScan 数据以导致受影响的设备重新加载。 同样严重的(CVSS 得分为 8.6)是 CVE-2022-20946,这是 FTD 软件版本 6.3.0 及更高版本的通用路由封装 (GRE) 隧道解封装功能中的一个 DoS 漏洞。 存在此问题的原因是处理 GRE 流量期间的内存处理错误。攻击者可以通过受影响的设备发送精心设计的 GRE 有效负载来利用该漏洞,使其重新启动。 思科本周解决的其他三个高严重性 DoS 漏洞影响简单网络管理协议 (SNMP) 功能和 ASA 和 FTD 的 SSL/TLS 客户端,以及 FMC 和 FTD 的 SSH 连接的处理。 根据 Cisco 的说法,这些错误的存在分别是由于输入验证不足、启动 SSL/TLS 连接时内存管理不当以及建立 SSH 会话失败时错误处理不当造成的。 思科本周解决的其他严重缺陷包括 ASA 和 FMC 中的默认凭据问题,以及运行 ASA 或 FTD 的 Secure Firewalls 3100 系列中的安全引导绕过。 思科本周发布了关于其企业防火墙产品中总共 26 个中等严重性漏洞的公告。 最重要的建议涉及 FMC 基于 Web 的管理界面中的 15 个跨站点脚本 (XSS) 错误。这些问题的存在是由于对用户提供的输入的验证不充分,允许攻击者在易受攻击的界面的上下文中执行代码,甚至泄露基于浏览器的信息。 思科修补了这些漏洞,作为其针对 ASA、FTD 和 FMC 软件的半年修复集的一部分。这些补丁计划于 10 月 26 日发布,但该公司将其发布推迟了大约两周。 这家科技巨头表示,它不知道有任何针对这些漏洞的公开攻击。有关这些缺陷的更多信息,请访问Cisco 的产品安全页面。https://tools./security/center/publicationListing.x
|
|