| 風險等級： | 高度威脅 |
| 摘 要： | 弱點通告：Cisco近日發布更新以解決多個產品的安全性弱點，建議請管理者儘速評估更新！ |
| 影響系統： |
|
| 解決辦法： | 請依照 Cisco官網更新至以下建議版本 1.Cisco AsyncOS for Cisco Web Security Appliance (WSA) (1).Cisco AsyncOS 11.8(含)之前版本，更新至12.0.3-005 (2).Cisco AsyncOS 12.0版本，更新至12.0.3-005 (3).Cisco AsyncOS 12.5版本，更新至12.5.2 2.Cisco Business Process Automation (BPA) (1).Cisco BPA 3.1之前版本，更新至3.1及更高版本 |
| 細節描述： | Cisco近日發布更新，以解決多個產品的安全性弱點。1.Cisco AsyncOS for Cisco Web Security Appliance (WSA)的弱點是由於對用戶提供的 Web界面 XML 輸入的驗證不足。攻擊者可以通過將包含腳本程式碼的 XML配置檔案上傳到易受攻擊的設備，藉此利用此弱點。成功的弱點利用可能允許攻擊者在底層操作系統上執行任意命令並將特權提升到root。攻擊者需要具有上傳配置檔案權限的有效用戶帳戶才能利用此弱點。
2.Cisco Business Process Automation(BPA)的弱點是由於對特定功能和對包含機密訊息的日誌檔案的訪問權限實施不當造成的。攻擊者可以通過將設計過的 HTTP訊息提交到受影響的系統並以管理員的權限執行未經授權的操作，或者通過從日誌中檢索機敏數據並使用它來冒充合法的特權用戶來利用這些弱點。成功的利用可能 |
| 參考資訊： | us-cert cisco cisco |