Cisco | Security Manager多个安全缝隙公告
颁布功夫 2020-11-170x00 缝隙概述
2020年11月16日 ，Cisco颁布安全公告 ，Security Manager中存在多个安全缝隙 。缝隙追踪为CVE-2020-27125、CVE-2020-27130和CVE-2020-27131 。
0x01 缝隙详情
Cisco Security Manager为Cisco安全治理器 ，它可将战术配置工作和针对Cisco安全数署的节造措施进行集中处置 ，从而高效地治理企业安全 。
本次颁布的缝隙详情如下：
产品 | CVE ID | 缝霞称 | 评分 | 严沉水平 |
Cisco Security Manager | CVE-2020-27125 | Cisco Security Manager静态证书缝隙 | 7.4 | 高危 |
CVE-2020-27130 | Cisco Security Manager蹊径遍历缝隙 | 9.1 | 严沉 | |
CVE-2020-27131 | Cisco Security Manager Java反序列化缝隙 | 8.1 | 高危 |
影响领域：
Cisco Security Manager 4.21及之前版本 。
Cisco Security Manager静态证书缝隙（CVE-2020-27125）
该缝隙是静态痛处没有提供足够的�；ぴ斐傻� ，攻击者能够通过查看源代码来利用此缝隙 。成功利用此缝隙的攻击者能够查看静态痛处等敏感信息 ，并利用痛处进行攻击 。
缝隙详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
Cisco Security Manager蹊径遍历缝隙（CVE-2020-27130）
该缝隙是设备对要求中的目录遍历字符序列的验证不正确造成的 。攻击者能够通过向受影响的设备发送恶意要求来利用此缝隙 。成功利用此缝隙可能使攻击者在受影响的设备高低载肆意文件 。
缝隙详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
Cisco Security Manager Java反序列化缝隙（CVE-2020-27131）
Cisco Security Manager使用的Java反序列化职能中存在多个安全缝隙 。这些缝隙使得用户提供的内容被不安全地反序列化 。攻击者能够通过将恶意的序列化Java对象发送给受影响的系统上的特定侦听器来利用这些缝隙 。成功利用此缝隙可能使攻击者在指标Windows主机上使用NT AUTHORITY\SYSTEM（内置系统治理账户）权限在设备上执行肆意号令 。
缝隙详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD?
0x02 措置建议
目前Cisco已在Cisco Security Manager 4.22中建复了CVE-2020-27125和CVE-2020-27130 ，建议实时更新 。
Cisco打算在Cisco Security Manager 4.23中建复CVE-2020-27131及其它Java反序列化职能中的缝隙 。
下载地址：
https://software.cisco.com/download/find
0x03 参考链接
https://tools.cisco.com/security/center/publicationListing.x
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-27131
0x04 功夫线
2020-11-16 Cisco颁布安全布告
2020-11-17 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号