思科已经警告客户使用其自适应安全设备（ASA）软件来修补一个危险的VPN漏洞，研究人员将透露如何利用这个BUG。

思科针对其网络安全设备的ASA操作系统在安全套接层VPN功能中存在严重的双重自由漏洞，它警告“可能允许未经身份验证的远程攻击者重新加载受影响的系统或远程执行代码”。

根据思科公司的建议，使用多个特制XML数据包的成功攻击将使攻击者能够“完全控制系统”。

由于易于利用和影响，CVE-2018-010中的漏洞得到了可能的10个通用漏洞评分系统（CVSS）评分10分。

但是，只有启用了webvpn功能时，才会暴露ASA设备。管理员可以通过使用Cisco提供的命令行界面指令来查看是否启用了该功能。

该漏洞影响的3000系列工业级安全设备（ISA），ASA 5500系列自适应安全设备，ASA 5500-X系列下一代防火墙，ASA服务模块的Cisco Catalyst 6500个系列交换机和Cisco 7600个系列路由器，ASA 1000V云防火墙，自适应安全虚拟设备（ASAv），Firepower 2100系列安全设备，Firepower 4110安全设备，Firepower 9300 ASA安全模块和Firepower威胁防御软件（FTD）。

该错误适用于Cisco 于9月份发布的 FTD 6.2.2，并且是第一个支持远程访问VPN的版本。在6.2.2之前主要版本FTD版本的系统不容易受到攻击。

思科已经向管理员提供了关于他们正在运行的ASA和FTD版本的说明。它还提供了一个详细说明受此漏洞影响的版本和第一个修复程序版本的表格。思科建议客户迁移到受支持的版本以接收修复程序。

该公司指出，它没有意识到任何已经使用该漏洞的攻击，但是这种情况很快就会改变。

NCC集团安全研究员Cedric Halbronn报告了这个漏洞，他将解释他是如何利用ASA设备上思科AnyConnect / WebVPN的漏洞。

声明：本文来自最新国外前沿科技推送，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。