Cisco IOS XE漏洞及日常交换机安全加固方法

背景
思科IOS XE设备最近被曝光了一个满分的10分漏洞，其跟踪编号是CVE-2023-20198。目前还没有可用的补丁或解决方案，但官方唯一建议是禁用所有面向互联网的系统上的HTTP服务器功能。

这个漏洞将允许黑客获得设备中最高等级的Level 15权限，这意味着他们可以完全控制相关设备并执行任意命令。根据初期扫描信息显示，受影响的IOS XE设备数量约为1万台。然而，在安全研究人员对互联网进行扫描后，发现至少超过3万台设备存在该漏洞。
一、为什么会存在此漏洞
　　市场上交换机配置一般通过console口进行cli配置，然而cisco也提供了一种通过web端管理交换机的方法。要想使用WEB管理思科设备，要具备下列条件：

**判断：**设备的IOS要支持WEB管理功能

Router(config)#ip http server //如果这条命令可以用，说明IOS支持WEB管理
Router(config)#ip http secure-server //如果这条命令可以用，说明你的IOS还支持HTTPS，安全连接
一般情况下，cisco交换机默认开启 http server和http secure-server功能；
通过上面命令开启WEB管理功能后还要使用下面命令设置WEB管理口令：

Router(config)#ip http authentication local //设置口令验证方式是本地验证
Router(config)#username cisco privilege 15 password 0 cisco //在本地添加用户名cisco和密码cisco
如何避免
1、 禁用不需要的各种服务协议

switch(config)#no service pad

s