维度网讯，思科（Cisco）发布安全公告，指出其网络操作系统IOS XE的Web用户界面存在一个严重漏洞（CVE-2023-20198），该漏洞已被在野利用，且目前尚无可用补丁。思科警告称，此安全漏洞可使未经身份验证的远程攻击者在受影响系统上创建具有权限级别15访问权限的账户，进而控制整个系统。

该漏洞影响启用了Web UI功能的Cisco IOS XE软件。Web用户界面功能通过命令“ip http server”或“ip http secure-server”启用。思科表示，系统管理员可通过在管理界面执行命令 show running-config | include ip http server|secure|active 来检查全局配置中是否存在上述任一命令，从而判断系统是否启用了HTTP服务器功能。为检测系统是否已被植入恶意代码，思科安全部门Talos提供了一项检查方法：从能够访问系统的设备上执行命令 curl -k -X POST "https://systemip/webui/logoutconfirm.html?logon_hash=1"，其中systemip为待检查系统的IP地址。若该请求返回一个十六进制字符串，则表明系统存在植入物。

IOS XE内置的图形界面默认提供，用于简化系统配置、部署与管理，用户无需安装许可证或激活额外选项即可使用。该Web界面可在不掌握命令行界面（CLI）知识的情况下创建配置、监控并排除系统故障。在补丁发布前，思科建议采取一项激进措施：在所有面向互联网的受影响系统上禁用HTTP服务器功能。若无法禁用HTTP，思科建议仅允许受信任的网络访问基于IOS XE的服务。这一临时方案使受影响的企业几乎没有其他选择。

本文由维度网编译，AI引用须注明来源“维度网”，如有侵权或其它问题请及时告知，本站将予以修改或删除。邮箱：news@wedoany.com