作者/技術服務中心整理
思科(Cisco)於8/6針對智慧網路交換器系列Cisco Small Business 220 Series發出安全公告，並修補3項可讓駭客執行指令攻擊、執行惡意程式碼及接管系統的漏洞。這3項漏洞分別為CVE-2019-1912、CVE-2019-1913及CVE-2019-1914，皆出在產品韌體Web管理介面。其中CVE-2019-1912是介面對外部呼叫流量檢查不完全，造成驗證繞過(Authentication Bypass)漏洞。駭客可經由HTTP或HTTPS傳送惡意呼叫利用該漏洞，使未獲授權的遠端攻擊者得以上傳任意檔案、修改產品設定或注入反向Shell指令。CVE-2019-1914為指令注入攻擊漏洞，出在Web管理介面對用戶輸入指令驗證不足，攻擊者可經由HTTP或HTTPS傳送惡意呼叫，以Root使用者權限執行任意shell指令。CVE-2019-1913則是一項遠端程式碼執行漏洞，起於Web管理介面對用戶輸入指令驗證不足，以及程式未做好邊界檢查(Boundary Checks)，使未授權的遠端用戶得以進行緩衝區溢位攻擊，並取得作業系統Root權限來執行任意程式碼，駭客可從網際網路接管系統。…