云安全日报201208：思科企业安全管理器发现任意命令执行漏洞,需要尽快升级

Cisco Security Manager（CSM）是美国思科（Cisco）公司的一套企业级的管理应用，它主要用于在C云安isco网络和安全设备上配置防火墙、VPN和入侵保护安全服务。

12月7日，思科公司发布了紧急安全更新，主要修复了CSM安全全日管理器中任意命令执行高危漏洞。以下是漏洞详情：

漏洞详情

来源：

https://tools.cisco.com/securi报2ty/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-01rce-mWJEedcD

CVE-2020-27131 CVSS评分：8.1 高

Cisco Security Manager使用的Jav20a反序列化功能中的多个漏洞可能允许未经身份验证的远程攻击者在受影响的设备上执行任意命令。

这些漏洞是由于受影响的软件不安全8：地反序列化用户提供的内容。攻击者可以通过将恶意的序列化Java对象发送给受影响的系统上的特定侦听器来利用这些漏洞。成功利用思科此漏洞可能使攻击者在Windows目标主机上使用NT AUTHORITY \ SYSTEM特权在设备上执行任意命令。

受影响产品

此漏洞企业影响Cisco Security Manager 4.22及更早版本。

解决方案

思科在Cisco Security Manager版本4安全.22 Service Pack 1中修复了这些漏洞。以下是升级修复重要说明：

1.对购买了许可证的软件版本和功能集提供支持，管理通过安装，下载，访问或以其他方式使用此类软件升级。

2.从思科或通过思科授权的经销商或合作伙伴购买的，具有有效许可证的软器发件可获得维护升级。

3.直接从思科购买但不持有思科服务合同的客户以及通过第三方供应商进行购买但未通过销售点获得修复软件的客户现任应通过联系思科技术支持中心获得升级。

4.客户应拥有可用的产品序列号，并准备提供上述安全通报的URL，以作为有权免费升级的证意命据。

查看更多漏洞信息 以及升级请访问官网：

https://tools.cisco.com/security/cente令执r/publicationListing.x