发布日期：2009-02-25
更新日期：2009-02-26

受影响系统：

Cisco ACE设备管理器 < A3(2.1)
Cisco ANM 1.2

不受影响系统：

Cisco ACE设备管理器 A3(2.1)
Cisco ANM 2.0 Update A
Cisco ANM 2.0

描述：

---

BUGTRAQ  ID: 33903
CVE(CAN) ID: CVE-2009-0615,CVE-2009-0616,CVE-2009-0617,CVE-2009-0618

Cisco应用联网管理器（ANM）是用于管理Cisco应用控制引擎（ACE）模块或设备的网络管理应用，安装在Red Hat Enterprise Linux操作系统的客户服务器上；ACE设备管理器位于ACE设备的闪存中，提供了用于配置和管理单个ACE设备的基于浏览器的接口。

ANM中存在多个漏洞，ACE设备管理器产品中存在一个漏洞，以下是本文所述每个漏洞的详细信息。

无效目录权限
+----------------------------

Cisco ACE设备管理器的A3(2.1)之前软件版本和Cisco ANM的ANM 2.0之前软件版本存在目录遍历漏洞，可能允许非授权访问ACE操作系统和主机操作系统文件。如果要利用这些漏洞，必须首先通过认证。

以下Cisco Bug ID记录了这个漏洞：

  * CSCsv66063
  * CSCsv70130

为这个漏洞所分配的CVE ID为CVE-2009-0615。

默认用户凭据
+----------------------------

Cisco ANM的ANM 2.0之前软件版本在安装期间没有强制更改凭据。如果这些凭据未经更改，就可能允许通过默认的用户凭据非授权访问ANM应用。

以下Cisco Bug ID记录了这个漏洞：

  * CSCsu52724

为这个漏洞所分配的CVE ID为CVE-2009-0616。

MySQL默认凭据
+----------------------------

ANM的ANM 2.0之前版本在安装期间使用默认的MySQL root用户口令。MySQL数据库是在初始安装ANM时默认安装的。可无需最终用户交互通过默认的凭据认证远程利用这个漏洞。非授权访问数据库可能允许修改系统文件，影响ANM的功能，或在基础主机操作系统上执行任意命令。MySQL数据库中的ACE设备和模块设备配置文件是加密的。

以下Cisco Bug ID记录了这个漏洞：

  * CSCsu52632

为这个漏洞所分配的CVE ID为CVE-2009-0617。

Java代理权限提升
+----------------------------

ANM的ANM 2.0 Update A之前软件版本存在远程可利用的漏洞，允许攻击者查看配置文件和修改ANM进程，包括终止服务。利用这个漏洞可能导致系统信息泄露或拒绝服务。

以下Cisco Bug ID记录了这个漏洞：

  * CSCsu73001

为这个漏洞所分配的CVE ID为CVE-2009-0618。

<*来源：National Australia Bank
  
  链接：http://secunia.com/advisories/34061/
        http://www.cisco.com/warp/public/707/cisco-sa-20090225-anm.shtml
*>

建议：

---

临时解决方法：

* 在安装后修改ANM用户admin帐号口令。

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20090225-anm）以及相应补丁:
cisco-sa-20090225-anm：Cisco ACE Application Control Engine Device Manager and Application Networking Manager Vulnerabilities
链接：http://www.cisco.com/warp/public/707/cisco-sa-20090225-anm.shtml

补丁下载：

http://www.cisco.com/cgi-bin/Software/Tablebuild/doftp.pl?ftpfile=/cisco/crypto/3DES/netmgmt/anm/1.2/anm2.0-update-A.bin
http://www.cisco.com/cgi-bin/Software/Tablebuild/doftp.pl?ftpfile=/cisco/crypto/3DES/ans/DNSS/ace4710/c4710ace-mz.A3_2_1.bin

浏览次数：2818
严重程度：0（网友投票）