思科路由器和交换机被爆有重大漏洞：可被控制或导致瘫痪

“#榜样的力量#数据猿公益策划活动——寻找新冠战“疫”，中国数据智能产业先锋力量：申报项目、提交文章（或深度采访），即可参与此次活动最终推出的榜单、勋章、思想者合集以及人物条漫等内容的评选，并有全网超过100家媒体同步扩散传播。丨点击“这里”了解详情，可提交报名表，并沟通获取相关要求细则与提交申报模板。

大数据产业创新服务媒体

——聚焦数据 · 改变商业

---

数据猿报道 思科(Cisco)被爆出的漏洞会影响以下产品：

1.思科809和829工业ISR

2.CGR1000

解决方案：

思科已经发布了免费软件更新，以解决此通报中描述的漏洞。

1.客户只能下载直接从思科或通过思科授权的经销商或合作伙伴购买的具有有效许可证的软件升级。免费的安全软件更新不会使客户获得新的软件许可，其他软件功能集或主要版本升级的权利。

2.直接从思科购买但不持有思科服务合同的客户以及通过第三方供应商进行购买但未通过销售点获得固定软件的客户应通过与思科TAC联系来获得升级：

https：// www .cisco.com / c / en / us / support / web / tsd-cisco-worldwide-contacts.html

客户应拥有可用的产品序列号，并准备提供此通报的URL，以作为有权免费升级的证据

漏洞通报：

全球领先的网络解决方案供应商思科（Cisco）公司,于6月3日发布了一系列安全公告，解决了总共47个漏洞，其中包括在Internetwork Operating System（思科网络操作系统,用于其大多数路由器和交换机产品，以下简称IOS）或IOS EX(在线会议软件）中发现并修复的三个关键漏洞。

一个是Cisco IOS XE软件版本16.3.1及更高版本中的IOx（IOx是思科开发的端到端应用程序框架，可为思科网络平台上的不同应用程序类型提供应用程序托管功能。）应用程序托管基础结构的授权控制中的特权提升漏洞（代号CVE-2020-3227）。其他两个严重漏洞包括RCE远程执行代码漏洞（代号CVE-2020-3198）和命令注入漏洞（代号CVE-2020-3205）。

思科在一份通报中解释说：

“CVE-2020-3227漏洞是由于对授权令牌的请求处理不当所致。” 攻击者可以通过使用精心设计的API调用来请求此令牌，从而利用此漏洞。利用漏洞可以使攻击者获得授权令牌并在受影响的设备上执行任何IOx API命令。” 

“ CVE-2020-3198”漏洞可能导致系统崩溃并重新加载，“在管理Cisco IOS软件的VM(Virtual Machine)通信的代码区域中被发现。“该漏洞是由于发往受影响设备的UDP端口9700的数据包中某些值的边界检查不正确造成的。攻击者可以通过向受影响的设备发送恶意数据包来利用此漏洞。处理数据包时，可能会发生可利用的缓冲区溢出情况。”

“CVE-2020-3205”漏洞是由于通信数据包验证不足而引起的，并且可能允许未经身份验证的相邻攻击者在受影响设备的虚拟设备服务器（VDS）上执行任意Shell命令。攻击者可以利用此漏洞通过向受影响的设备发送恶意数据包。”成功的利用此漏洞可能使攻击者能够以Root(最高权限) 用户的特权在VDS的Linux shell上下文中执行任意命令 。由于该设备是在虚拟机管理程序体系结构上设计的，因此利用VM间通信的漏洞可能会导致整个系统瘫痪。“

早在6月1日，思科还发布了另一份公告，宣布已修复了思科NX-OS（Nexus Operating System，数据中心Nexus系列交换机操作系统）软件网络堆栈中的一个漏洞RFC2003 IP-in-IP(代号CVE-2020-10136)。思科指出，该漏洞是由受影响的设备引起的，未经身份验证的攻击者可以为本地配置的IP地址的IP数据包中解封装和处理IP，可以通过易受攻击的设备路由网络流量，信息泄漏和绕过网络访问控制。

—— / END / ——

职位热招中

①【北京】TalkingData

资深银行行业BD-华北/华东JD、资深非银行业BD-华东/华南JD、数据分析师JD丨点击“这里”了解详情

②【北京】金山云云智能解决方案中心大数据团队

大数据架构师、Java架构师丨点击“这里”了解详情

③【上海】数数科技

大数据运维支持工程师、大数据研发工程师、SDK研发工程师、数据分析师、销售经理（上海、北京、深圳）、高级数据产品经理、测试开发工程师丨点击“这里”了解详情

④【杭州+上海+北京+成都】蚂蚁金服大数据部

均为实习生招募—研发类：数据研发工程师、JAVA工程师、前端工程师丨算法类：机器学习算法工程师丨产品类：数据产品经理丨点击“这里”了解详情

⑤【杭州】阿里数据中台品牌团队

均为市场及品牌岗位：数据品牌管理、数据中台整合营销、数据中台内容运营、数据中台渠道策略运营丨点击“这里”了解详情

⑥【杭州】数字浙江

社招：JAVA开发工程师丨校招：数据开发工程师、JAVA开发工程师丨点击“这里”了解详情

提示：如贵公司近期有职位发布需求，可发送内容至数据猿寻求友情扩散fabu@datayuan.cn

2019数据猿年度榜单：

●2019大数据产业趋势人物榜TOP 10

●2019大数据产业创新服务企业榜TOP 15

●2019大数据产业创新服务产品榜TOP 40

数据猿公益策划活动

 

#榜样的力量#

寻找新冠战“疫”，中国数据智能产业先锋力量