Cisco | Security Manager多个清静误差通告
宣布时间 2020-11-170x00 误差概述
2020年11月16日 ，，Cisco宣布清静通告 ，，Security Manager中保存多个清静误差。。。。。误差追踪为CVE-2020-27125、CVE-2020-27130和CVE-2020-27131。。。。。
0x01 误差详情
Cisco Security Manager为Cisco清静治理器 ，，它可将战略设置使命和针对Cisco清静安排的控制步伐举行集中处置惩罚 ，，从而高效地治理企业清静。。。。。
本次宣布的误差详情如下：
产品 | CVE ID | 误差名称 | 评分 | 严重水平 |
Cisco Security Manager | CVE-2020-27125 | Cisco Security Manager静态证书误差 | 7.4 | 高危 |
CVE-2020-27130 | Cisco Security Manager路径遍历误差 | 9.1 | 严重 | |
CVE-2020-27131 | Cisco Security Manager Java反序列化误差 | 8.1 | 高危 |
影响规模：
Cisco Security Manager 4.21及之前版本。。。。。
Cisco Security Manager静态证书误差（CVE-2020-27125）
该误差是静态凭证没有提供足够的�；；；ぴ斐傻� ，，攻击者可以通过审查源代码来使用此误差。。。。。乐成使用此误差的攻击者可以审查静态凭证等敏感信息 ，，并使用凭证举行攻击。。。。。
误差详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
Cisco Security Manager路径遍历误差（CVE-2020-27130）
该误差是装备对请求中的目录遍历字符序列的验证不准确造成的。。。。。攻击者可以通过向受影响的装备发送恶意请求来使用此误差。。。。。乐成使用此误差可能使攻击者在受影响的装备上下载恣意文件。。。。。
误差详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
Cisco Security Manager Java反序列化误差（CVE-2020-27131）
Cisco Security Manager使用的Java反序列化功效中保存多个清静误差。。。。。这些误差使得用户提供的内容被不清静地反序列化。。。。。攻击者可以通过将恶意的序列化Java工具发送给受影响的系统上的特定侦听器来使用这些误差。。。。。乐成使用此误差可能使攻击者在目的Windows主机上使用NT AUTHORITY\SYSTEM（内置系统治理账户）权限在装备上执行恣意下令。。。。。
误差详情如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD?
0x02 处置惩罚建议
现在Cisco已在Cisco Security Manager 4.22中修复了CVE-2020-27125和CVE-2020-27130 ，，建议实时更新。。。。。
Cisco妄想在Cisco Security Manager 4.23中修复CVE-2020-27131及其它Java反序列化功效中的误差。。。。。
下载地点：
https://software.cisco.com/download/find
0x03 参考链接
https://tools.cisco.com/security/center/publicationListing.x
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-27131
0x04 时间线
2020-11-16 Cisco宣布清静通告
2020-11-17 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号