修复了67个思科CVE严重漏洞包括在内AnyConnect安全移动客户端和RV110W、RV130、RV130W和RV215W路由器中发现的小企业漏洞。
零售商智能思科Wi-Fi在解决方案中有一个非常严重的漏洞，远程攻击者可以更改受影响系统中任何用户的帐户密码。
这个漏洞是思科周三发布的67个高风险CVE一系列补丁包括Cisco的AnyConnect安全移动客户端和Cisco RV110W，RV130，RV130W和RV215W路由器中发现的小企业漏洞。
存在最严重的漏洞Cisco Connected Mobile Experiences(CMX)，这是一个软件解决方案，零售商使用它来分析业务或现场客户体验。该解决方案使用零售商的思科无线基础设施Wi-Fi网络收集大量数据，包括实时客户位置跟踪。
例如，如果客户连接到使用CMX的商店的Wi-Fi在互联网上，零售商可以跟踪他们在哪里的位置，观察他们的行为，并在商店里为他们提供特殊的折扣或促销。
该漏洞(CVE-2021-1144)这个漏洞是由于更改密码的授权检查处理不当造成的CVSS漏洞严重程度等级为8.8(满分10)。值得注意的是，要利用这个漏洞，攻击者必须有身份验证CMX账户，但不需要管理权限。
思科说：“经过身份验证后，这些没有管理权限的攻击者可以通过向受影响的设备发送修改后的HTTP请求使用此漏洞。成功利用漏洞可以让攻击者更改系统中任何用户的密码(包括管理用户)，然后冒充用户。”
管理员有多种权限，包括使用文件传输协议(FTP)备份和恢复命令Cisco CMX以上数据和访问凭证的权限(解锁账户被锁定的用户)。
此漏洞影响Cisco CMX 10.6.0、10.6.1和10.6.2版本，Cisco CMX 10.6.3这个漏洞已经在更高的版本中修复了。
其它严重缺陷
Windows的Cisco AnyConnect安全移动客户端存在另一个严重漏洞(CVE-2021-1237)。AnyConnect Secure Mobility Client为端点提供广泛的安全服务(如远程访问，web安全功能及漫游保护)。
该漏洞允许当地身份验证的攻击者执行动态链接库(DLL)注入攻击。思科说，攻击者需要利用这个漏洞Windows有效的系统凭证。
思科称：“攻击者可以将配置文件插入系统的特定路径，以便在应用程序启动时加载恶意DLL文件。成功利用漏洞可以使攻击者在受影响的计算机上执行任何代码。”
其中60个CVE思科小企业存在RV110W、RV130、RV130W和RV215W路由器的Web在管理界面中。这些漏洞可能允许身份验证的远程攻击者执行任何代码，或意外重新启动受影响的设备。
思科说：“攻击者可以通过向受影响的设备发送精心准备的攻击者HTTP请求使用这些漏洞。成功利用这些漏洞可以使攻击者能够root用户身份在基本操作系统上执行任何代码，或导致设备重新加载，导致拒绝服务(DoS)状态。”
而且，思科小企业RV110W、RV130、RV130W和RV215W还有五个路由器CVE(CVE-2021-1146，CVE-2021-1147，CVE-2021-1148，CVE-2021-1149和CVE-2021-1150)身份验证的远程攻击者可攻击者注入root任何权限执行的命令。
值得注意的是，思科表示，他不会成为思科的小企业RV110W、RV130、RV130W和RV215W由于其使用寿命已经结束，路由器发布软件更新。
思科表示：“思科还没有发布，也不会发布软件更新来解决本通知中提到的漏洞。思科小企业RV110W、RV130、RV130W和RV215W路由器已进入报废程序。”
本文翻译自：https://threatpost.com/cisco-flaw-cmx-software-retailers/163027/如果转载，请注明原始地址。