云安全日报210401：思科交换机操作系统软件发现任意代码执行漏洞,需要尽快升级

Cisco IOS和IOS XE是思科(Cisco)公司旗下路由器和交换机等网络设备广泛采用的互联网操作系统。

3月31日，思科发布安全更新，修复了IOS和IOS XE软件中发现的任意代码执行等重要漏洞。以下是漏洞详情：

漏洞详情

来源：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fast-Zqr6DD5

1.CVE-2021-1375 CVSS评分：6.7 严重程度：高

在Cisco Catalyst 3650，Cisco Catalyst 3850，Cisco Catalyst 9300和Cisco Catalyst 9300L系列交换机上运行的Cisco IOS XE软件的快速重新加载功能中的漏洞可能允许经过身份验证的本地攻击者在系统启动时执行未签名的代码。

此漏洞是由于对设备启动时执行的传递给配置文件的参数的验证不正确造成的。攻击者可以通过篡改设备上存储的配置文件来利用此漏洞。成功的利用可能使攻击者在引导时执行未签名的代码，并绕过受影响设备安全引导过程中的软件映像验证检查部分。

2.CVE-2021-1376 CVSS评分：5.1 严重程度：中

在Cisco Catalyst 3650，Cisco Catalyst 3850，Cisco Catalyst 9300和Cisco Catalyst 9300L系列交换机上运行的Cisco IOS XE软件的快速重载功能中的漏洞可能允许经过身份验证的本地攻击者在服务器的基础操作系统上执行任意代码。受影响的设备。

此漏洞是由于在最初的快速重新加载启动过程中，对用于管理启动配置文件验证的代码区域检查不当造成的。要利用此漏洞，攻击者需要对设备的CLI的特权访问。成功的利用可能使攻击者能够在基础操作系统上执行任意代码。

受影响产品

如果这些漏洞正在运行易受攻击的Cisco IOS XE软件版本，则这些漏洞会影响Cisco Catalyst 3650，Cisco Catalyst 3850，Cisco Catalyst 9300和Cisco Catalyst 9300L系列交换机。

解决方案

思科已经发布了免费软件更新，以解决此通报中描述的漏洞。为帮助客户确定其在Cisco IOS和IOS XE软件中的漏洞风险，思科提供了Cisco Software Checker来识别影响特定软件版本的所有Cisco安全公告，以及可修复每个公告中所述漏洞的最早版本(“第一版，已修复”)。具体修复详情可以参看思科官网。

查看更多漏洞信息以及升级请访问官网：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fast-Zqr6DD5