首页
社区
课程
招聘
思科曝9.9分关键权限提升漏洞
发表于: 2025-1-24 13:48 2390

思科曝9.9分关键权限提升漏洞

2025-1-24 13:48
2390

思科安全漏洞

最近,网络安全界又传来了一个重要的消息:思科公司发布了一个软件更新,以解决一个关乎安全的重大漏洞。这个漏洞被称为CVE-2025-20156,CVSS评分高达9.9,几乎接近满分10.0,意味着它的威胁范围和潜在影响非常严重。在此漏洞影响下,经过身份验证的远程攻击者有可能在易受攻击的实例上获取管理员权限,这无疑会为企业网络安全带来巨大风险。

思科的公告指出,此漏洞的形成是由于其会议管理REST API中的一个授权问题,具体来说是REST API用户没有被强制执行恰当的授权,这让攻击者可以通过向特定的端点发送API请求来进行攻击。一旦成功利用这个漏洞,攻击者就能够获得对思科会议管理系统所管理的一系列边缘节点的管理员级别控制权

这一漏洞的发现归功于Modux的研究人员Ben Leonard-Lagarde。受影响的产品版本包括思科的会议管理发布版本3.9,而这一问题已在3.9.1版本中解决。对于使用早期版本如3.8的用户,则需要将其迁移到已经修复的版本;而3.10版本则不受此问题影响。

除了上述漏洞,思科还宣布了针对其它安全漏洞的修复。例如,他们发布了一个补丁以修复影响到BroadWorks的拒绝服务(DoS)漏洞。这种DoS攻击是由于对某些会话启动协议(SIP)请求的内存处理不当所引发,因而攻击者可以利用这个漏洞通过大量发送SIP请求来耗尽网络服务器的内存,导致服务器无法处理进来的请求,从而引发服务中断,恢复该状态需要人工干预。

针对第三个漏洞,思科也进行了修复,该漏洞编号为CVE-2025-20128(CVSS评分为5.3),属于ClamAV的解密例程中的整数下溢错误,这同样可能引发DoS情况。值得注意的是,该漏洞是由google的OSS-Fuzz项目报告的,虽然存在概念验证(PoC)的利用代码,但是至今并没有证据表明该漏洞已经被恶意利用。

在这则公告发布的同时,美国的网络安全和执法机构CISA与FBI也针对另一个云服务应用程序Ivanti公布了详细的漏洞利用链信息,这引发了更广泛的关注。在相关漏洞中,包括管理绕过漏洞(CVE-2024-8963)、SQL注入漏洞(CVE-2024-9379)以及远程代码执行漏洞(CVE-2024-8190和CVE-2024-9380)。这些漏洞被黑客组合利用,造成了攻击者在获得初始访问后进行了横向移动,试图植入Web shell以在目标网络中保持持久性。

这种情况的严重性不单在于信息泄露,更在于这些攻击指向了系统的核心部分,相关机构警告称,受影响Ivanti设备中存储的凭据和敏感数据被认为处于泄露状态。这使得用户对IVanti的信任降到冰点,同时也引发了大众对网络安全的关注。

综合来看,随着技术的进步,网络安全问题越来越复杂,尤其是在大数据和云计算的发展下。企业在进行系统的部署和管理时,必须重视网络安全,及时更新软件并打好补丁,以防止潜在的威胁。尤其是像思科这样的知名企业,其漏洞对行业影响巨大,及时处理与报告漏洞显得尤为重要。用户们也应当时刻保持警惕,关注系统和应用程序的更新,确保自己的软件是最新的,尽量减少被攻击的风险。

以上内容提醒了我们技术小白们,网络安全是一个不容忽视的话题。虽然听起来复杂,但只要我们了解一些基本知识,做好更新和监控,就能为我们的网络环境增加一层保护。而对拥有更深相关知识的技术人员来说,了解这些漏洞、及时响应并采取措施则能更好地维护整个企业的安全。

在此背景下,有必要关注思科等大型企业的安全公告,与此同时也要增强我们自身的网络安全意识,不让自己成为网络攻击的受害者。


[注意]看雪招聘,专注安全领域的专业人才平台!

收藏
免费
支持
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
返回

账号登录
验证码登录

忘记密码?
没有账号?立即免费注册