Cisco Smart Software Manager On-Prem 信赖治理缝隙风险公告

颁布功夫 2020-02-21

缝隙编号和级别


CVE编号：CVE-2020-3158，危险级别：严沉，CVSS分值：厂商自评：9.8，官方未评定


影响版本


启用了High Availability (HA)服务的Cisco Smart Software Manager On-Prem 7-202001之前版本


缝隙概述


思科建复其智能软件治理器（SSM）中的特权账户静态密码缝隙，它可能允许远程攻击者使用特权较高的帐户接见系统的敏感部门。思科暗示，“该缝隙是由于某系统账户拥有默认和静态密码且并不受系统治理员节造而造成的。”SSM On-Prem系统只有在启用了高可用性（HA）职能时才易受攻击，但该职能默认未启用。思科忠告称，攻击者不必要有效的登录就能够提议攻击，并且能够使用高特权默认帐户来衔接易受攻击的系统，获得对系统数据的读写接见权限，并更改其设置。


缝隙验证


暂无PoC/EXP。


建复建议


   目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：https://tools.cisco.com/

security/center/content/CiscoSecurityAdvisory/cisco-sa-on-prem-static-cred-sL8rDs8。


参考链接


https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-on-prem-static-cred-sL8rDs8