思科修補SD-WAN vManage的遠端程式攻擊漏洞

思科在本周修補了存在於SD-WAN vManage軟體的3個安全漏洞，當中的CVE-2021-1479存在於該軟體的遠端管理元件，成功的開採將允許未經授權的駭客，以根權限自遠端執行任意程式。

SD-WAN為一基於軟體定義的廣域網路（WAN）管理產品，主要針對軟體即服務（SaaS）及公有雲應用所設計，而vManage則是用來監控SD-WAN健康狀態的軟體產品。此次思科修補了SD-WAN vManage中的CVE-2021-1137、CVE-2021-1479與CVE-2021-1480共3個安全漏洞。

其中，最嚴重的漏洞為CVE-2021-1479，它存在於SD-WAN vManage 的遠端管理元件中，是因無法適當驗證使用者的輸入而造成的，駭客只要傳送一個特製的連結請求至該元件，就能導致緩衝區溢位，成功的攻擊將讓未經授權的駭客以根權限執行任意程式。

CVE-2021-1479漏洞的CVSS風險評分高達9.8，它是由思科內部的安全稽核自行發現，尚未察覺相關的攻擊行動。

CVE-2021-1137則為權限擴張漏洞，存在於SD-WAN vManage軟體的使用者管理功能中，只要具備新增用戶權限的本地端授權用戶，就能開採該漏洞，並取得根權限。CVE-2021-1480亦為一權限擴張漏洞，但它位於系統檔案傳輸功能中，一個本地端授權用戶可藉由傳遞特製請求來開採該漏洞，進而覆蓋任意檔案以變更系統，最終取得根權限。

相關漏洞皆無暫時補救措施，思科呼籲SD-WAN vManage用戶應儘速更新。