思科报告Nexus 9000数据中心交换机，PI软件和EPN管理器中的严重漏洞

本月早些时候，思科宣布其Nexus 9000系列应用中心基础设施（ACI）模式交换软件存在严重漏洞。此漏洞允许未经身份验证的远程攻击者使用root用户的权限连接到受影响的系统。此漏洞仅可通过IPv6利用;但是，IPv4并不容易受到攻击。思科发布了解决该漏洞的免费软件更新。

此漏洞（CVE-2019-1804）的CVSS严重等级为9.8，是由于所有设备中都存在默认的SSH密钥对。攻击者可以通过使用提取的密钥材料通过IPv6打开到目标设备的SSH连接来利用此漏洞。没有解决方法，因此思科鼓励用户更新到最新的软件版本。但是，修复程序只是一个临时补丁。

该公司还为Nexus 9000发布了“高”安全警告咨询，CVSS严重等级为10.0。这涉及一种漏洞，允许攻击者在受影响的设备上以root身份执行任意操作系统命令。思科表示，为了取得成功，攻击者需要有效的设备管理员凭据。

该漏洞是由于过于宽泛的系统文件权限，攻击者可以通过向受影响的设备进行身份验证，创建精心设计的命令字符串并将此制作的字符串写入特定文件位置来利用此漏洞。

思科基于Web管理界面的严重漏洞

昨天，思科Prime基础设施（PI）和思科演进可编程网络（EPN）管理器的基于Web的管理界面中出现了多个关键漏洞。这些漏洞可能允许远程攻击者获得在底层操作系统上使用提升的权限执行任意代码的能力。这些漏洞影响3.4.1,3.5和3.6之前的Cisco PI软件版本以及3.0.1之前的EPN Manager版本。

其中一个问题CVE-2019-1821可以被未经身份验证的攻击者利用，该攻击者可以通过网络访问受影响的管理界面。对于第二个和第三个问题（CVE-2019-1822和CVE-2019-1823），攻击者需要具有有效凭据才能对受影响的管理界面进行身份验证。

思科发布了解决这些漏洞的软件更新。没有解决这些漏洞的解决方法。

要了解有关这些漏洞和其他漏洞的更多信息，请访问思科的安全警告页面。