本周三,思科通告消费者,刚发布的几项产品更新修复了数个重大高危漏洞。
其中,最严重的一个漏洞与 NX-OS 网络操作系统上的一个不安全的默认凭据有关,影响运行该操作系统的思科 Nexus 3000 和 3500 系列交换机平台。这一漏洞编号为 CVE-2016-1329,黑客可利用某配有静态密码的默认账户获取 Root 权限,远程登录到存在漏洞的设备。
另一个问题是,用户无法在不影响系统功能的前提下,更改或移除这一在安装过程中创建的高危账号。
这一安全漏洞影响运行:
NX-OS 6.0(2)U6(1) 、6.0(2)U6(2) 、 6.0(2)U6(3) 、 6.0(2)U6(4) 、 6.0(2)U6(5) 版本的 Nexus 3000 系列交换机,以及运行 6.0(2)A6(1) 、 6.0(2)A6(2) 、 6.0(2)A6(3) 、 6.0(2)A6(4) 、 6.0(2)A6(5) 、6.0(2)A7(1) 版本的 Nexus 3500 交换机平台。
无法尽快安装补丁的用户可以根据思科发布的建议,采取替代措施。
思科此次也发布了针对运行 NX-OS 的 Nexus 5500/5600 系列交换机平台以及 Nexus 6000 系列交换机的软件升级,修复了简单网络管理协议(SNMP)输入信息包处理器中的一个高危拒绝服务漏洞。
攻击者可以利用这一编号为 CVE-2015-6260的漏洞,向目标设备远程发送特制的 SNMP 包,致使 SNMP 应用重新启动。威胁源可以导致应用多次重启,造成系统层面上的重启,产生拒绝服务效果。
该漏洞影响 NX-OS 7.1(1)N1(1) 版本,并已在 7.1(2)N1(1) 版本中得到升级。目前没有替代解决措施。
NX-OS 的 TCP 栈还存在一个高危拒绝漏洞,编号为 CVE-2015-0718。攻击者可以向目标设备远程发送特制的 TCP 包,产生拒绝服务效果。
这一问题影响思科 Nexus 1000V 、 3000 、 4000 、 5000 、 6000 、 7000 系列交换机,此外还有运行 NX-OS 的思科统一计算系统(Unified Computing System,UCS)。
思科在周三发布的指导意见中还披露了另一个高危拒绝服务漏洞,编号 CVE-2016-1288。此漏洞存在于思科网络安全应用(Web Security Appliance,WSA)的 Web 代理框架中。远端攻击者可以发送恶意篡改的 HTTPS 请求包,导致存在漏洞的设备出现暂时性的拒绝服务状态。
思科表示,目前尚未看到上述实例遭到恶意利用的情况。
本文转自d1net(转载)