Cisco 近日發布 NFV 基礎軟體的安全性更新

• Cisco Enterprise NFVIS Release 4.0 (含)之前版本

有關弱點的詳細資訊如下：
(1)Cisco企業 NFVIS 訪客逃生弱點Cisco企業 NFVIS 的下一代輸入/輸出 (NGIO) 功能中的一個弱點可能允許經過身份驗證的遠端攻擊者逃離訪客 VM，從而 NFVIS主機上獲得未經授權的根級訪問權限。
此弱點是由於訪客限制不足造成的。攻擊者可以通過從 VM 發送 API 調用來利用此弱點，該調用將在 NFVIS主機上以root級權限執行。成功的利用可以讓攻擊者完全破壞 NFVIS 主機。

(2)Cisco企業 NFVIS 命令注入弱點Cisco Enterprise NFVIS 的映像登錄過程中存在一個弱點，該弱點可能允許未經身份驗證的遠端攻擊者在映像登錄過程中輸入在NFVIS 主機的根級別執行命令。
此弱點是由於輸入驗證不當造成的。攻擊者可以通過主機上的管理員安裝帶有精心製作的 VM 映像檔來利用此弱點，該原數據將在 VM登錄過程中以root級別權限執行命令。成功的利用可能允許攻擊者將具有root級別權限的命令輸入 NFVIS 主機。

(3)Cisco企業 NFVIS XML 外部實體注入弱點Cisco企業 NFVIS 導入功能中的弱點可能允許未經身份驗證的遠端攻擊者將系統資訊從主機洩漏到任何已配置的虛擬機 (VM)。
此弱點是由於 XML解析器中的外部實體解析造成的。攻擊者可以通過說服管理員，導入一個精心製作的文件來利用此弱點，該文件將從主機讀取資訊並將其寫入任何已配置的VM。成功的利用可能允許攻擊者在任何已配置的 VM 上從主機訪問系統訊息。