思科修复严重等级为最高级10的远程代码执行漏洞

雷锋网消息，1月31日，据外媒报道，思科公司已经发布了软件补丁，修复了影响运行自适应安全设备（ASA）软件的思科设备主要漏洞。

思科自适应安全设备软件，是思科ASA家族系列设备的核心操作系统。思科ASA家族产品是一种以防火墙、防病毒、入侵防御和虚拟专用网络（VPN）等功能为一体的安全网络设备系列。

根据此前发布的安全通报，较老版本的思科自适应安全设备软件，会因为操作系统的安全套接层协议层（SSL）VPN功能漏洞而受到影响。

漏洞将会影响启用VPN功能的ASA设备

雷锋网了解到，这一漏洞（CVE-2018-0101）将会导致以下思科ASA设备受到影响——不过，只有当“webvpn”功能启动时，漏洞才会生效。

-3000系列工业安全设备（ISA）

-ASA 5500系列自适应安全设备

-ASA 5500-X系列下一代防火墙

-用于Cisco Catalyst 6500系列交换机和Cisco 7600系列路由器的ASA服务模块

-ASA 1000V云防火墙

-自适应安全虚拟设备（ASAv）

-Firepower 2100系列安全设备

-Firepower 4110安全设备

-Firepower 9300 ASA安全模块

-Firepower威胁防御软件（FTD）

思科公司表示，攻击者可以将格式错误的XML数据包发送到这些设备，然后在上面执行恶意代码。根据代码的性质，攻击者可以控制被感染的设备。

严重等级为最高级10

该漏洞的CVSS安全严重等级评分为最高级10分，这意味着它很容易被黑客远程利用（降低了攻击代码的复杂性），而且无需在设备上进行任何认证。

斯克表示，他们最近已经公开了有关漏洞细节，但是没有发现任何利用这个漏洞的攻击行为。

NCC Group的Cedric Halbronn最先发现了该漏洞，并且向思科报告了这个问题。目前，思科公司已经发布了数个更新。此外，思科的CWE-415安全建议中还提供了一个列表，其中有修复发布的ASA软件版本号。

不过，思科公司称目前没有解决此漏洞的方案，因此用户必须禁用ASA VPN功能，或是安装更新的操作系统版本。

事实上，严重等级为最高级10的漏洞非常少见，但是当其出现时，往往很容易被黑客利用。去年，甲骨文公司也曾受到类似的问题影响。

雷锋网VIA bleepingcomputer