思科上周針對網路虛擬化設備一項可能允許攻擊者接管設備的重大漏洞,釋出更新軟體,呼籲用戶應儘速安裝。

這項漏洞發生在Cisco Enterprise Network Function Virtualization Infrastructure Software(NFVIS)4.5.1版本中的TACACS+ AAA(authentication, authorization and accounting)功能中。NSVIS主要是利用虛擬化和抽象化底層硬體,以管理分支機構的路由器、防火牆、網路控制器等設備。

這項漏洞編號CVE-2021-34746,出於TACACS+ AAA功能對使用者呼叫的驗證不完善,攻擊者可在呼叫中注入參數開採漏洞。成功開採可讓遠端攻擊者繞過驗證,以管理員身分登入問題設備,進而接管該設備,這意謂著他可以藉此執行任意指令,包括刪改檔案或執行惡意程式。

該漏洞風險值9.8,影響有啟動外部驗證的設備。思科已釋出最新的NSVIS 4.6.1解決問題。

本漏洞最早由Orange Group的研究人員Cyrille Chatras發現並通報。思科產品安全事件回應小組雖然還未發現有使用這漏洞的惡意活動,但已得知網路上有針對這漏洞的概念驗證(PoC)程式。

美國網路安全暨基礎架構管理署(CISA)也發出安全公告,呼籲企業管理員採取行動。

熱門新聞

Advertisement