6月16日,思科发布了安全公告,思科小型企业220系列交换机发现劫持用户会话等重要漏洞,建议尽快升级。以下是漏洞详情：

漏洞详情

来源：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ciscosb-multivulns-Wwyb7s5E

1.CVE-2021-1542 CVSS评分:7.5 严重程度：高

Cisco Small Business 220 系列智能交换机基于Web的管理界面的会话管理中存在一个漏洞，该漏洞可能允许未经身份验证的远程攻击者绕过身份验证保护并未经授权访问该界面。攻击者可以获得被劫持的会话帐户的权限，其中可能包括设备的管理权限。

此漏洞是由于对会话标识符值使用弱会话管理。攻击者可以通过使用侦察方法来确定如何制作有效的会话标识符来利用此漏洞。成功的利用可能允许攻击者在管理界面内以高达管理用户级别的权限执行操作。

2.CVE-2021-1541 CVSS评分:7.2 严重程度：高

Cisco Small Business 220 系列智能交换机基于Web的管理界面中存在一个漏洞，该漏洞可能允许经过身份验证的远程攻击者在底层操作系统上以root用户身份执行任意命令。攻击者必须在设备上拥有有效的管理凭据。

此漏洞是由于缺乏对 TFTP 配置参数的参数验证。攻击者可以通过为特定的 TFTP 配置参数输入精心设计的输入来利用此漏洞。成功的利用可能允许攻击者以root用户身份在底层操作系统上执行任意命令。

3.CVE-2021-1543 CVSS评分:6.1 严重程度：中

Cisco Small Business 220 系列智能交换机基于 Web 的管理界面中存在一个漏洞，该漏洞可能允许未经身份验证的远程攻击者进行跨站点脚本 (XSS) 攻击。

此漏洞是由于受影响设备的基于 Web 的管理界面对用户提供的输入的验证不足。攻击者可以通过诱使用户单击恶意链接并访问特定页面来利用此漏洞。成功的利用可能允许攻击者在受影响界面的上下文中执行任意脚本代码或访问敏感的、基于浏览器的信息并将用户重定向到任意页面。

4.CVE-2021-1571 CVSS评分:6.1 严重程度：中

Cisco Small Business 220 系列智能交换机基于Web的管理中存在一个漏洞，未经身份验证的远程攻击者可能会利用该漏洞进行 HTML注入攻击。

此漏洞是由于对受影响页面中的参数值检查不当造成的。攻击者可以通过诱使用户访问旨在将 HTML 代码传递到受影响参数的精心设计的链接来利用此漏洞。成功的利用可能允许攻击者更改网页的内容以将用户重定向到潜在的恶意网站。

受影响产品

如果 Cisco Small Business 220 系列智能交换机运行早于 1.2.0.6 版的固件版本并启用了基于 Web 的管理界面，则这些漏洞会影响它们。

解决方案

思科已经发布了Cisco Small Business 220 系列智能交换机固件更新,用户升级至1.2.0.6及更高版本可修复上述漏洞。

注: 要从Cisco.com 上的软件中心下载固件，请单击“全部浏览”并导航到交换机 > LAN 交换机 – 小型企业 > 220 系列智能交换机。

查看更多漏洞信息 以及升级请访问官网：

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fast-Zqr6DD5