多款Cisco产品认证绕过漏洞

CVE编号

CVE-2018-0247

利用情况

暂无

补丁情况

N/A

披露时间

2018-05-03
漏洞描述
Cisco Aironet Access Points、IOS Software和Wireless LAN Controller都是美国思科（Cisco）公司的产品。Cisco Aironet Access Points和Cisco Wireless LAN Controller是一套无线访问接入点设备。IOS Software是运行在其中的一套操作系统。Wireless LAN Controller是一款无线局域网控制器产品。该产品在无线局域网中提供安全策略、入侵检测等功能。Web Authentication（WebAuth）是其中的一个Web身份验证客户端程序。

Cisco Aironet Access Points的IOS Software和Cisco Wireless LAN Controller 8.5.110.0之前版本中的WebAuth客户端存在授权问题漏洞，该漏洞源于程序未能实现身份验证。攻击者可利用该漏洞绕过身份验证，发送流量。
解决建议
厂商已发布了漏洞修复程序，请及时关注更新：
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180502-aironet-auth
参考链接
http://www.securityfocus.com/bid/104087
http://www.securitytracker.com/id/1040814
http://www.securitytracker.com/id/1040815
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
系统 cisco aironet_access_point_software 8.3(104.105) -
运行在以下环境
系统 cisco aironet_access_point_software 8.5(107.52) -
运行在以下环境
系统 cisco wireless_lan_controller_software 8.3(104.105) -
CVSS3评分
4.7
  • 攻击路径
    相邻
  • 攻击复杂度
    低
  • 权限要求
    无
  • 影响范围
    已更改
  • 用户交互
    无
  • 可用性
    无
  • 保密性
    无
  • 完整性
    低
CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
CWE-ID 漏洞类型
CWE-287 认证机制不恰当
阿里云安全产品覆盖情况