Cisco Small Business Switches 高危缝隙安全公告

颁布功夫 2019-01-22

缝隙编号和级别


CVE编号：CVE-2018-15439，危险级别：高危， CVSS分值：厂商自评：9.8，官方:8.1


影响领域


受影响产品：

Cisco Small Business 200 Series Smart Switches

Cisco Small Business 300 Series Managed Switches

Cisco Small Business 500 Series Stackable Managed Switches

Cisco 250 Series Smart Switches

Cisco 350 Series Managed Switches

Cisco 350X Series Stackable Managed Switches

Cisco 550X Series Stackable Managed Switches 


不受影响产品：

Cisco 200E Series Smart Switches

Cisco 220 Series Smart Switches

以及运行思科IOS软件、思科IOS XE软件或思科NX-OS软件的设备


缝隙概述


Cisco Small Business 200 Series Smart Switches等都是美国思科（Cisco）公司的幼型智能互换机设备。Small Business Switches Software是一套运行在其中的互换机软件。 多款Cisco产品的Small Business Switches软件存在安全缝隙。远程攻击者可利用该缝隙绕过受影响的设备的用户身份验证机造。


该缝隙与设备上的特权用户账户等默认配置有关。特权用户帐户是为初始登录而创建的，因而无法从思科幼型贸易互换机设备中删除。


缝隙验证


暂无POC/EXP。


建复建议


思科颁布的公告中有一个解决规划，即在设备配置中增长一个拥有15级接见权限级此外用户帐户来禁用特权帐户。用户能够将admin作为用户ID来配置新帐户，将接见权限设置为15级，并用一个复杂密码代替强密码。


目前还没有缝隙补丁，但思科正全力建复缝隙。


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-sbsw-privacc

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15439