Cisco Small Business Switches 高危漏洞安全通告
发布时间 2019-01-22漏洞编号和级别
CVE编号：CVE-2018-15439，危险级别：高危， CVSS分值：厂商自评：9.8，官方:8.1
影响范围
受影响产品：
Cisco Small Business 200 Series Smart Switches
Cisco Small Business 300 Series Managed Switches
Cisco Small Business 500 Series Stackable Managed Switches
Cisco 250 Series Smart Switches
Cisco 350 Series Managed Switches
Cisco 350X Series Stackable Managed Switches
Cisco 550X Series Stackable Managed Switches
不受影响产品：
Cisco 200E Series Smart Switches
Cisco 220 Series Smart Switches
以及运行思科IOS软件、思科IOS XE软件或思科NX-OS软件的设备
漏洞概述
Cisco Small Business 200 Series Smart Switches等都是美国思科（Cisco）公司的小型智能交换机设备。Small Business Switches Software是一套运行在其中的交换机软件。 多款Cisco产品的Small Business Switches软件存在安全漏洞。远程攻击者可利用该漏洞绕过受影响的设备的用户身份验证机制。
该漏洞与设备上的特权用户账户等默认配置有关。特权用户帐户是为初始登录而创建的，因而无法从思科小型商业交换机设备中删除。
漏洞验证
暂无POC/EXP。
修复建议
思科发布的通告中有一个解决方案，即在设备配置中添加一个具有15级访问权限级别的用户帐户来禁用特权帐户。用户可以将admin作为用户ID来配置新帐户，将访问权限设置为15级，并用一个复杂密码替换强密码。
目前还没有漏洞补丁，但思科正尽力修复漏洞。
参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181107-sbsw-privacc
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15439
京公网安备11010802024551号