Cisco對其兩大產品存在SSL漏洞發出警告

2019-11-04 23:46:09

字體：大中小

來源：轉載

供稿：網友

　　本周一，Cisco公司對它的兩個網絡安全產品發表了一個安全報告，并發布了修復該漏洞的軟件。
　　
　　攻擊者利用這個漏洞可以獲得私人登錄安全信息，或者通過CiscoWorks IDS傳感器治理中心（IDSMC——Management Center for IDS Sensors）發送虛假的數據來操縱Cisco的入侵檢測防御系統的配置信息。
　　
　　美國馬薩諸塞州Woburn的一個安全公司的一位高級技術顧問Shane Coursen說：“Cisco的設備在Internet上是不可或缺的中堅部分，所以在Cisco設備上的任何一個漏洞都會變成那些別有專心的人利用的對象?！?br />　　
　　“假如他們利用這個非凡的漏洞，他們就能展開大規模的攻擊?！?br />　　
　　非凡需要指出的是，這個報告強調IDSMC中的SSL認證和Cisco的安全監控中心存在漏洞。
　　
　　通過SSL認證的虛假IDSMC能夠使部分網絡泄密，并向攻擊者報告產品的性能。攻擊者能夠利用泄密的登錄信息逐個獲得其它被限制的東西和網絡的更深部分。
　　
　　然而這是在SSL的核心，安全研究者們不能看到重要的漏洞，也不能在SSL協議漏洞中增加實例。
　　
　　Coursen說：“這種情況太普遍了。它是安全協議的圣杯嗎？不，但它的確是一個好的系統和協議。”
　　
　　美國新罕布什爾州Portsmouth的NitroSecurity安全公司的產品和市場高級副主管Bill Clark說：“他們在這些產品上使用SSL和Cisco怎樣處理SSL認證在某種程度上說是一個漏洞?！?br />　　
　　“你能夠使用假的認證信息入侵系統，然后看到安全信息和增加不應該出現在那里的附加信息。”
　　
　　Coursen說黑客經常留心安全報告，然后創建新的攻擊方法，但關于這個漏洞的概念型驗證代碼看起來沒有出現這種情況。Cisco的San Jose說目前什么都沒有發現。
　　
　　一位Cisco的發言人通過eWeek.com說：“到目前為止，Cisco沒有發現這個漏洞的任何的攻擊，Cisco已經發布了一個免費的修補程序。用戶假如要想了解更多的細節，包括修補程序介紹在內，需要去查閱安全報告?！?br />　　
　　ipSMC 2.1版本和安全監控中心2.1版本的Service Pack 1已經在Cisco的Web站點可以下載了。
　　
　　Cisco說Service Pack修補了監控和認證信息，當證書改變并且答應監控中心在證實有變化發生而結束一個連接時，會提供消息。
　　
　　今年晚些時候可能會有一個修訂版發布，修訂版將能答應IPSMC結束連接。

上一篇：集成式AES、入侵防護和防御層

下一篇：高性價比推薦——小型網吧組網產品（圖）