【误差通告】Cisco Small Business系列交流机多个高危误差

宣布时间 2023-05-18

一、误差概述

Cisco Small Business是思科（Cisco）公司针对中小企业定制化推出的一系列完整解决计划及产品。。。。。。

5月18日，，，，， ， ，，凯发k8VSRC监测到Cisco宣布清静通告，，，，， ， ，，修复了Cisco Small Business 系列交流机基于 Web 的用户界面中的多个严重/高危误差，，，，， ， ，，Cisco体现某些误差已保存PoC/EXP。。。。。。如下：

CVE

问题

评分

影响

形貌

CVE-2023-20159

Cisco Small Business 系列交流机缓冲区溢出/客栈缓冲区溢出误差

9.8

代码执行

由于对发送到 Web 界面的请求验证不当，，，，， ， ，，未经身份验证的远程威胁者可以通过发送恶意请求来使用该误差，，，，， ， ，，乐成使用可能导致在受影响的装备上以root权限执行恣意代码。。。。。。

CVE-2023-20160

CVE-2023-20161

CVE-2023-20189

CVE-2023-20024

Cisco Small Business 系列交流机堆缓冲区溢出/拒绝效劳误差

8.6

Dos

由于对发送到 Web 界面的请求验证不当，，，，， ， ，，未经身份验证的远程威胁者可以通过发送恶意请求来使用该误差，，，，， ， ，，乐成使用可能导致在受影响的装备上造成拒绝效劳（Dos）。。。。。。

CVE-2023-20156

CVE-2023-20157

CVE-2023-20158

CVE-2023-20162

Cisco Small Business 系列交流机设置读取误差

7.5

信息泄露

由于对发送到 Web 界面的请求验证不当，，，，， ， ，，未经身份验证的远程威胁者可以通过发送恶意请求来使用该误差，，，，， ， ，，乐成使用可能导致在受影响的装备上读取未经授权的信息，，，，， ， ，，造成信息泄露。。。。。。

 

二、影响规模

250 系列智能交流机、350 系列网管交流机、350X 系列可堆叠网管交流机和 550X 系列可堆叠网管交流机版本：<= 2.5.9.15

Business 250 系列智能交流机和 Business 350 系列治理型交流机版本：<= 3.3.0.15

Small Business 200 系列智能交流机

Small Business 300 系列治理型交流机

Small Business 500 系列可堆叠托管交流机

 

三、清静步伐

3.1 升级版本

现在Cisco已经修复了部分受影响产品，，，，， ， ，，受影响用户可升级到以下版本：

250 系列智能交流机、350 系列网管交流机、350X 系列可堆叠网管交流机和 550X 系列可堆叠网管交流机版本：>= 2.5.9.16

Business 250 系列智能交流机和 Business 350 系列治理型交流机版本：>= 3.3.0.16

受影响用户可从Cisco软件中心下载固件（单击Browse all，，，，， ， ，，选择Switches > LAN Switches - Small Business）。。。。。。

下载链接：

https://software.cisco.com/download/home

注：Small Business 200 系列智能交流机、Small Business 300 系列治理型交流机和Small Business 500 系列可堆叠托管交流机现在Cisco已经阻止维护；；；；220系列智能交流机和Business 220系列智能交流机不受这些误差影响。。。。。。

3.2 暂时步伐

暂无。。。。。。

3.3 通用建议

l  按期更新系统补丁，，，，， ， ，，镌汰系统误差，，，，， ， ，，提升效劳器的清静性。。。。。。

l  增强系统和网络的会见控制，，，，， ， ，，修改防火墙战略，，，，， ， ，，关闭非须要的应用端口或效劳，，，，， ， ，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，， ， ，，镌汰攻击面。。。。。。

l  使用企业级清静产品，，，，， ， ，，提升企业的网络清静性能。。。。。。

l  增强系统用户和权限治理，，，，， ， ，，启用多因素认证机制和最小权限原则，，，，， ， ，，用户和软件权限应坚持在最低限度。。。。。。

l  启用强密码战略并设置为按期修改。。。。。。

3.4 参考链接

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sg-web-multi-S9g4Nkgv

https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-switch-bugs-with-public-exploit-code/

 

四、版本信息

版本

日期

备注

V1.0

2023-05-18

首次宣布

 


五、附录

5.1 凯发k8简介

凯发k8建设于1996年，，，，， ， ，，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。。。。。。是海内最具实力的信息清静产品、清静效劳解决计划的领航企业之一。。。。。。

公司总部位于北京市中关村软件园凯发k8大厦，，，，， ， ，，公司员工6000余人，，，，， ， ，，研发团队1200余人, 手艺效劳团队1300余人。。。。。。在天下各省、市、自治区设立分支机构六十多个，，，，， ， ，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。。。。。。公司于2010年6月23日在深圳中小板挂牌上市。。。。。。（股票代码：002439）

多年来，，，，， ， ，，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，，， ， ，，资助客户周全提升其IT基础设施的清静性和生产效能，，，，， ， ，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。

5.2 关于凯发k8

凯发k8清静应急响应中心已宣布1000多个误差通告和危害预警，，，，， ， ，，我们将一连跟踪全球最新的网络清静事务和误差，，，，， ， ，，为企业的信息清静保驾护航。。。。。。

关注我们：

image.png