一种高危漏洞影响思科Firepower管理中心

思科已经解决了一个漏洞，其编号为CVE-2024-20360（CVSS评分8.8），该漏洞存在于Firepower Management Center (FMC)软件的基于Web的管理界面中。该漏洞是一个SQL注入问题，攻击者可以利用这个漏洞从数据库获取任意数据，在底层操作系统上执行任意命令，并将权限提升至root。只有具有至少只读用户凭据的攻击者才能利用这个漏洞。

安全通告中指出：“思科Firepower Management Center (FMC)软件的基于Web的管理界面中存在一种漏洞，允许经过身份验证的远程攻击者对受影响的系统进行SQL注入攻击。这个漏洞存在的原因是基于Web的管理界面未充分验证用户输入。攻击者可以通过对应用程序进行身份验证并向受影响的系统发送精心构造的SQL查询来利用这个漏洞。成功利用这个漏洞可以允许攻击者从数据库获取任意数据，在底层操作系统上执行任意命令，并将权限提升至root。要利用这个漏洞，攻击者至少需要具有只读用户凭证。” 思科表示没有可解决这个漏洞的变通方法。

这家IT巨头已确认，这个漏洞不影响自适应安全设备（ASA）软件或Firepower威胁防御（FTD）软件。思科产品安全事件响应团队（PSIRT）并不知道有野外攻击利用这个漏洞。

原文始发于微信公众号（黑猫安全）：一种高危漏洞影响思科Firepower管理中心