思科修复了严重的SD-WAN vManage和HyperFlex HX软件安全漏洞，这些漏洞可能使远程攻击者能够以root用户身份执行命令或创建恶意管理员帐户。
该公司还发布了安全更新程序，以解决多个其他软件产品中的中高严重性漏洞，这些漏洞使攻击者可以在未修补的服务器上远程执行任意代码，提升特权，触发拒绝服务条件等。
思科的产品安全事件响应小组（PSIRT）表示，它不了解在野外积极利用这些漏洞。跳过广告
可利用来注入命令并远程执行代码
思科今天修补的思科SD-WAN vManage软件漏洞可能使未经身份验证的远程攻击者能够执行任意代码或访问敏感信息。
经过身份验证的本地攻击者也可以在本地利用它们来获得升级的特权或对容易受到攻击的应用程序的未授权访问。
在思科HYPERFLEX HX命令注入安全漏洞有可能使与目标服务器上没有特权远程攻击者可以执行命令注入攻击。
在这两种情况下，成功利用漏洞都不需要链接漏洞，而且这些bug也不相互依赖。
不需要身份验证或用户交互
思科（Cisco CVE-2021-1497，CVE-2021-1468和CVE-2021-1505，CVE-2021-1497，CVE-2021-1468和CVE-2021-1505）评估为严重的三个安全问题的CVSS基本评分为9.1，最高为9.8 / 10：
- CVE-2021-1468：Cisco SD-WAN vManage群集模式未授权消息处理漏洞
- CVE-2021-1505：Cisco SD-WAN vManage群集模式特权升级漏洞
- CVE-2021-1497：Cisco HyperFlex HX安装程序虚拟机命令注入漏洞
思科解释说，关键的Cisco SD-WAN vManage错误仅影响在集群中运行的软件。
该公司表示：“客户可以通过检查Cisco SD-WAN vManage基于Web的管理界面“管理>群集管理”视图来验证该软件是否以群集模式运行。”
基于CVSS在线计算器信息，可以将它们全部用于不需要身份验证或用户交互的低复杂度攻击中。
上个月，思科解决了另一个严重的预身份验证远程代码执行（RCE）漏洞，该漏洞影响了SD-WAN vManage，该漏洞可能使威胁参与者能够在基础操作系统上获得root用户特权。
1月修复了另一个预认证的Cisco SD-WAN RCE漏洞（CVE-2021-1300），攻击者可以利用root特权执行任意代码，而2020年7月解决了另外两个关键的预认证Cisco SD-WAN错误。
*编译：Domino
*来自：thehackernews