Cisco Security ManageR（CSM）是由美国思科（Cisco）公司开发的一款企业级管理应用，主要用于配置Cisco网络及安全设备的防火墙、VPN和入侵保护服务。
在12月7日，思科公司发布了一项紧急安全更新，旨在修复CSM安全管理器中的一个高危任意命令执行漏洞。以下是关于该漏洞的详细信息：
漏洞详情
来源：
CVE-2020-27131 CVSS评分：8.1（高）
在Cisco Security ManageR使用的Java反序列化功能中，存在多个漏洞，这可能使未经身份验证的远程攻击者能够在受影响设备上执行任意命令。
这些漏洞源于受影响软件在反序列化用户提供的内容时缺乏安全性。攻击者可以通过向受影响系统的特定侦听器发送恶意的序列化Java对象来利用这些漏洞。一旦成功，攻击者可以在Windows目标主机上以NT AUTHORITY system特权执行任意命令。
受影响产品
此漏洞影响Cisco Security ManageR 4.22及之前的版本。
解决方案
思科已经在Cisco Security ManageR版本4.22 Service Pack 1中修复了这些漏洞。以下是关于升级和修复的重要说明：
1. 对于购买了许可证的软件版本和功能集，提供通过安装、下载、访问或其他方式进行升级的支持。
2. 从思科或其授权的经销商或合作伙伴处购买的具有有效许可证的软件，可以获得维护升级。
3. 直接从思科购买但未持有思科服务合同的客户，以及通过第三方供应商购买但未通过销售点获得修复软件的客户，应联系思科技术支持中心以获取升级。
4. 客户须具备有效的产品序列号，并准备提供上述安全通报的URL，以证明其有权获得免费升级。
欲了解更多漏洞信息及升级，请访问官网：
[[[IMG_1]]]
