思科紧急通告：本地智能软件管理器曝出高危漏洞，安全升级刻不容缓！

Cisco 已发布修补程序，以解决影响 Smart Software Manager On-Prem （Cisco SSM On-Prem） 的最大严重性安全漏洞，该漏洞可能使未经身份验证的远程攻击者更改任何用户（包括属于管理用户的用户）的密码。

该漏洞被跟踪为 CVE-2024-20419，CVSS 分数为 10.0。

“这个漏洞是由于密码更改过程的实施不当造成的，”该公司在一份公告中表示。“攻击者可以通过向受影响的设备发送构建的 HTTP 请求来利用此漏洞。成功的漏洞利用可能允许攻击者以受感染用户的权限访问 Web UI 或 API。

此缺点会影响Cisco SSM本地版本8-202206及更早版本。已在版本 8-202212 中修复。值得注意的是，版本 9 不容易受到该缺陷的影响。

思科表示，没有解决该问题的解决方法，并且它不知道任何恶意利用。安全研究员穆罕默德·阿德尔（Mohammed Adel）因发现和报告该漏洞而受到赞誉。

美国网络安全和基础设施安全局 （CISA） 根据主动利用的证据，在其已知利用漏洞 （KEV） 目录中添加了三个漏洞 -

• CVE-2024-34102（CVSS 评分：9.8） - Adobe Commerce 和 Magento 开源 XML 外部实体引用 （XXE） 的不当限制漏洞
• CVE-2024-28995（CVSS 评分：8.6） - SolarWinds Serv-U 路径遍历漏洞
• CVE-2022-22948（CVSS 评分：6.5） - VMware vCenter Server 默认文件权限不正确漏洞

CVE-2024-34102，也称为 CosmicSting，是由于嵌套反序列化处理不当而产生的严重安全漏洞，允许攻击者实现远程代码执行。Assetnote在上个月底发布了针对该漏洞的概念验证（PoC）漏洞。

GreyNoise 详细介绍了有关利用 CVE-2024-28995（一种允许访问主机上敏感文件的目录横向漏洞）的报告，包括尝试读取 /etc/passwd 等文件。

另一方面，CVE-2022-22948 的滥用被谷歌旗下的 Mandiant 归咎于一个名为 UNC3886 的中国网络间谍组织，该组织有利用 Fortinet、Ivanti 和 VMware 设备中的零日漏洞的历史。

联邦机构必须在 2024 年 8 月 7 日之前根据供应商说明应用缓解措施，以保护其网络免受主动威胁。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：思科紧急通告：本地智能软件管理器曝出高危漏洞，安全升级刻不容缓！