K8S | Service服務(wù)發(fā)現(xiàn)
一、背景在微服務(wù)架構(gòu)中，這里以開(kāi)發(fā)環(huán)境「Dev」為基礎(chǔ)來(lái)描述，在K8S集群中通常會(huì)開(kāi)放：路由網(wǎng)關(guān)、注冊(cè)中心、配置中心等相關(guān)服務(wù)，可以被集群外部訪問(wèn)；圖片對(duì)于測(cè)試「Tes」環(huán)境或者
7月7日,思科發(fā)布了安全更新，修復(fù)了思科Expressway系列和網(wǎng)真視頻通信服務(wù)器發(fā)現(xiàn)的遠(yuǎn)程攻擊漏洞。以下是漏洞詳情：
漏洞詳情
來(lái)源：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-overwrite-3buqW8LH
1.CVE-2022-20812 CVSS評(píng)分：9.0 嚴(yán)重程度:重要
Cisco Expressway 系列和 Cisco TelePresence VCS 的集群數(shù)據(jù)庫(kù) API 中的一個(gè)漏洞可能允許經(jīng)過(guò)身份驗(yàn)證的遠(yuǎn)程攻擊者對(duì)應(yīng)用程序具有管理員讀寫(xiě)權(quán)限，以對(duì)受影響的設(shè)備進(jìn)行絕對(duì)路徑遍歷攻擊并覆蓋底層操作系統(tǒng)上的文件根用戶(hù)。
此漏洞是由于用戶(hù)提供的命令參數(shù)的輸入驗(yàn)證不足。攻擊者可以通過(guò)以管理讀寫(xiě)用戶(hù)身份向系統(tǒng)進(jìn)行身份驗(yàn)證并將精心設(shè)計(jì)的輸入提交給受影響的命令來(lái)利用此漏洞。成功的利用可能允許攻擊者以root身份覆蓋底層操作系統(tǒng)上的任意文件用戶(hù)。
2.CVE-2022-20813 CVSS評(píng)分：7.4 嚴(yán)重程度:高
Cisco Expressway 系列和 Cisco TelePresence VCS 證書(shū)驗(yàn)證中的一個(gè)漏洞可能允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者未經(jīng)授權(quán)訪問(wèn)敏感數(shù)據(jù)。
此漏洞是由于不正確的證書(shū)驗(yàn)證造成的。攻擊者可以通過(guò)使用中間人技術(shù)來(lái)攔截設(shè)備之間的流量，然后使用精心制作的證書(shū)來(lái)模擬端點(diǎn)來(lái)利用此漏洞。成功的利用可能允許攻擊者以明文形式查看截獲的流量或更改流量的內(nèi)容。
受影響產(chǎn)品
上述漏洞影響使用默認(rèn)配置的Cisco Expressway系列和Cisco TelePresence VCS 14.0及以下版本。
解決方案
Cisco Expressway系列和Cisco TelePresence VCS升級(jí)至14.0.7版本可修復(fù)
查看更多漏洞信息 以及升級(jí)請(qǐng)?jiān)L問(wèn)官網(wǎng)：
https://tools.cisco.com/security/center/publicationListing.x
本文鏈接：http://www.yifxia.cn/showinfo-119-2411-0.html云安全日?qǐng)?bào)220707:思科Expressway系列和網(wǎng)真視頻通信服務(wù)器發(fā)現(xiàn)遠(yuǎn)程攻擊漏洞,需要盡快升級(jí)
聲明：本網(wǎng)頁(yè)內(nèi)容旨在傳播知識(shí)，若有侵權(quán)等問(wèn)題請(qǐng)及時(shí)與本網(wǎng)聯(lián)系，我們將在第一時(shí)間刪除處理。郵件：2376512515@qq.com
上一篇： ICRA 2022杰出論文：把自動(dòng)駕駛2D圖像轉(zhuǎn)成鳥(niǎo)瞰圖，模型識(shí)別準(zhǔn)確率立增15%
Copyright ? 2016-2023 天津谷騏科技有限公司 版權(quán)所有 sitemap.xml
違法及侵權(quán)請(qǐng)聯(lián)系：2376512515@qq.com 津ICP備18001702號(hào)
津公網(wǎng)安備 12010102000574號(hào)