云安全日报210507：思科SD-WAN管理软件发现执行任意代码漏洞,需要尽快升级

Cisco SD-WAN vManage Software是思科（Cisco）公司的一款用于SD-WAN（软件定义广域网络）解决方案的管理软件。

5月6日,思科发布了安云安全公告,修复了SD-WAN vManage软件中发现的执行任意代码等重要漏洞。以下是漏洞详情：

漏洞详情

来源：https://tools.cisco.com/security全日/center/content/CiscoSecurityAdvisory/cisco-sa-sd-wan-vmanage-4TbynnhZ

1.CVE-2021报2-1468 CVSS评分:9.8 严重程度：高

在群集模式下运行时，Cisco SD-WAN vManage软件的消息服务中的漏洞可能允许未经身份验证的远程攻击者将未经授权的10消息发送给易受攻击的应用程序。

此漏洞是由于对用户提供给应用程序消息传递服务的输入进行的身份验证检查不正确造成的。攻击者可以通过向服务提交精心设计的输入来利用此漏50洞。成功利用该漏洞可能使攻击者能够在受影响的系统中调用特权操作，包括创建新的管理级别用户帐户。

2.CVE-2021-1505 CVSS评分:9.1 严重程度：高

在群集模式下运7：行时，Cisco SD-WAN vManage软件的基于Web的管理界面中的漏洞可能允许经过身份验证的远程攻击者绕过授权检查，并在受影响的系统中获得提升的特权。

存在此漏洞是思科因为受影响的软件不会对某些操作执行授权检查。攻击者可以通过向受影响的系统发送精心设计的请求来利用此漏洞。成功的利用可能使攻击者绕过授权检查并在受影响的系统中获得SD提升的特权。

3.CVE-2021-1508 CVSS评分:8.1 严重程度：高

在集群模式下运行时，Cisco SD-WAN vManage软件的基于Web的管理界面中的漏洞可能-W允许经过身份验证的远程攻击者绕过授权检查，并进行应用程序修改，使攻击者可以在受影响的系统中获得更高的特权。

存在此漏洞是因为受影响的软件不会对某些操作执行授权检查。攻AN击者可以通过向受影响的系统发送精心设计的请求来利用此漏洞。成功的利用可能使攻击者绕过授权检查并在受影响的系统中获得提升的特权。

受影响产品

如果这些漏洞正在运行易受攻击的C管理isco SD-WAN vManage软件版本，则这些漏洞会影响Cisco设备

解决方案

思科已经发布了免费软件更新。建议客户如下表所示升级到适当的固定软件版本：

1.18软件.4及更早版本,19.2,20.1升级至可修复版本

2.20.3版本升级至20.3.3及更高版本

3.20.4版本升级至20.4.1及更高版本

4.20.5版本升级至发现20.5.1版本

查看更多漏洞信息 以及升级请访问官网：

https://tools.cisco.com/security/center/content/CiscoSe执行curityAdvisory/cisco-sa-fast-Zqr6DD5