当前位置：首页 > 科技 > 知识百科

云安全日报220519：思科安全设备和威胁防御软件发现权限提升漏洞,需要尽快升级

来源：责编：时间：2023-08-07 16:30:19 164观看

导读 Cisco ASA是思科其中的一套防火墙和网络安全平台，主要用于工业交换机，路由器等安全设备。Cisco FTD是思科其中的一个威胁防御安全软件，主要用于工业防火墙设备。5月17日,思科公

Cisco ASA是思科其中的一套防火墙和网络安全平台，主要用于工业交换机，路由器等安全设备。Cisco FTD是思科其中的一个威胁防御安全软件，主要用于工业防火墙设备。

5月17日,思科公司发布了安全更新，修复了自适应安全设备（ASA）软件和Firepower威胁防御（FTD）软件中发现的权限提升漏洞。以下是漏洞详情：

漏洞详情

来源：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-mgmt-privesc-BMFMUvye

1.CVE-2022-20759 CVSS评分：8.8 高

思科自适应安全设备 (ASA) 软件和思科 Firepower 威胁防御 (FTD) 软件的远程访问 VPN 功能的 Web 服务界面中存在一个漏洞，该漏洞可能允许经过身份验证但没有特权的远程攻击者将特权提升到15级。

此漏洞是由于身份验证和授权范围分离不当造成的。攻击者可以通过向受影响设备的 Web 服务接口发送精心制作的 HTTPS 消息来利用此漏洞。成功的利用可以让攻击者获得对设备 Web 管理界面的 15 级访问权限。这包括使用思科自适应安全设备管理器 (ASDM) 或思科安全管理器 (CSM) 等管理工具对设备进行15级访问。

受影响产品

如果 Cisco 产品运行易受攻击的 Cisco ASA 软件或 Cisco FTD 软件版本，并且至少以下条件之一为真，则此漏洞会影响 Cisco 产品(默认情况下，思科 ASA 软件或思科 FTD 软件均未启用这些功能)：

HTTPS 管理访问和 IKEv2 客户端服务都在至少一个（不一定相同）接口上启用

HTTPS 管理访问和 WebVPN 都在至少一个（不一定相同）接口上启用

解决方案

思科ASA软件

Cisco ASA 软件版本 9.7 及更早版本以及版本 9.9、9.10 和 9.13 已结束软件维护。建议客户迁移升级到包含此漏洞修复程序的受支持版本。

Cisco ASA 软件版本 9.8 升级至9.8.4.43或移升级到包含此漏洞修复程序的受支持版本可修复

Cisco ASA 软件版本 9.12 升级至9.12.4.38可修复

Cisco ASA 软件版本 9.14 升级至9.14.4可修复

Cisco ASA 软件版本 9.15 升级至9.15.1.21可修复

Cisco ASA 软件版本 9.16 升级至9.16.2.14可修复

Cisco ASA 软件版本 9.8 升级至9.17.7可修复

思科FTD软件

Cisco FMC 和 FTD 软件版本 6.2.2 及更早版本，以及版本 6.3.0 和 6.5.0，软件维护已结束。建议客户迁移升级到包含此漏洞修复程序的受支持版本。

Cisco FTD 软件版本 6.4.0 升级至6.4.0.15（2022 年 5 月）可修复

Cisco FTD 软件版本 6.6.0 升级至6.6.5.2 可修复

Cisco FTD 软件版本 6.7.0 移升级到包含此漏洞修复程序的受支持版本

Cisco FTD 软件版本 7.0.0 升级至7.0.2（2022 年 5 月）可修复

Cisco FTD 软件版本 7.1.0 升级至7.1.0.1可修复

查看更多漏洞信息以及升级请访问官网：

https://tools.cisco.com/security/center/publicationListing.x

本文链接：http://www.28at.com/showinfo-119-2339-0.html云安全日报220519：思科安全设备和威胁防御软件发现权限提升漏洞,需要尽快升级

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：云计算开发：Python3数学函数modf()方法详解

下一篇： IDC：苹果iPhone是英国手机销量之王，三星、诺基亚、OPPO、谷歌挺进前五

标签：

热门焦点

十个可以手动编写的 JavaScript 数组 API

JavaScript 中有很多API，使用得当，会很方便，省力不少。你知道它的原理吗? 今天这篇文章，我们将对它们进行一次小总结。现在开始吧。1.forEach()forEach()用于遍历数组接收一参
2023 年的 Node.js 生态系统

随着技术的不断演进和创新，Node.js 在 2023 年达到了一个新的高度。Node.js 拥有一个庞大的生态系统，可以帮助开发人员更快地实现复杂的应用。本文就来看看 Node.js 最新的生
分布式系统中的CAP理论，面试必问，你理解了嘛？

对于刚刚接触分布式系统的小伙伴们来说，一提起分布式系统，就感觉高大上，深不可测。而且看了很多书和视频还是一脸懵逼。这篇文章主要使用大白话的方式，带你理解一下分布式系统
Flowable工作流引擎的科普与实践

一.引言当我们在日常工作和业务中需要进行各种审批流程时，可能会面临一系列技术和业务上的挑战。手动处理这些审批流程可能会导致开发成本的增加以及业务复杂度的上升。在这
年轻人的“职场羞耻感”，无处不在

作者：冯晓亭陶淘李欣张琳马舒叶来源：燃次元“人在职场，应该选择什么样的着装？”近日，在网络上，一个与着装相关的帖子引发关注，在该帖子里，一位在高级写字楼亚洲金
网红炒股不为了赚钱，那就是耍流氓！

来源：首席商业评论6月26日高调宣布入市，网络名嘴大v胡锡进居然进军了股市。在一次财经媒体峰会上，几个财经圈媒体大佬就“胡锡进炒股是否知道认真报道”展开讨论。有
iQOO 11S新品发布会

iQOO将在7月4日19:00举行新品发布会，推出杭州亚运会电竞赛事官方用机iQOO 11S。
首发天玑9200+ iQOO Neo8系列发布首销售价2299元起

2023年5月23日晚，iQOO Neo8系列正式发布。其中，Neo系列首款Pro之作——iQOO Neo8 Pro强悍登场，限时售价3099元起；价位段最强性能手机iQOO Neo8同期上市
荣耀Magic4 至臻版首创智慧隐私通话强劲影音系统

2022年第一季度临近尾声，在该季度内，许多品牌陆续发布自己的最新产品，让大家从全新的角度来了解当今的手机技术。手机是电子设备中，更新迭代十分迅速的一款产品，基