思科在本周修補(bǔ)了存在於SD-WAN vManage軟件的3個(gè)安全漏洞，當(dāng)中的CVE-2021-1479存在於該軟件的遠(yuǎn)端管理元件，成功的開采將允許未經(jīng)授權(quán)的黑客，以根權(quán)限自遠(yuǎn)端執(zhí)行任意程式。
SD-WAN為一基於軟件定義的廣域網(wǎng)絡(luò)（WAN）管理產(chǎn)品，主要針對(duì)軟件即服務(wù)（SaaS）及公有云應(yīng)用所設(shè)計(jì)，而vManage則是用來監(jiān)控SD-WAN健康狀態(tài)的軟件產(chǎn)品。此次思科修補(bǔ)了SD-WAN vManage中的CVE-2021-1137、CVE-2021-1479與CVE-2021-1480共3個(gè)安全漏洞。
其中，最嚴(yán)重的漏洞為CVE-2021-1479，它存在於SD-WAN vManage 的遠(yuǎn)端管理元件中，是因無法適當(dāng)驗(yàn)證使用者的輸入而造成的，黑客只要傳送一個(gè)特制的連結(jié)請(qǐng)求至該元件，就能導(dǎo)致緩沖區(qū)溢位，成功的攻擊將讓未經(jīng)授權(quán)的黑客以根權(quán)限執(zhí)行任意程式。
CVE-2021-1479漏洞的CVSS風(fēng)險(xiǎn)評(píng)分高達(dá)9.8，它是由思科內(nèi)部的安全稽核自行發(fā)現(xiàn)，尚未察覺相關(guān)的攻擊行動(dòng)。
CVE-2021-1137則為權(quán)限擴(kuò)張漏洞，存在於SD-WAN vManage軟件的使用者管理功能中，只要具備新增用戶權(quán)限的本地端授權(quán)用戶，就能開采該漏洞，并取得根權(quán)限。CVE-2021-1480亦為一權(quán)限擴(kuò)張漏洞，但它位于系統(tǒng)檔案?jìng)鬏敼δ苤校粋�(gè)本地端授權(quán)用戶可藉由傳遞特制請(qǐng)求來開采該漏洞，進(jìn)而覆蓋任意檔案以變更系統(tǒng)，最終取得根權(quán)限。
相關(guān)漏洞皆無暫時(shí)補(bǔ)救措施，思科呼吁SD-WAN vManage用戶應(yīng)盡速更新。
