红着脸不好意思的思科推出一个补丁，皆因有些虚拟安全设备的SSH密钥用了硬编码的方法。
由于密钥是与虚拟设备远程管理接口关联的，攻击者成功登录后就可以在设备里到处转悠。俗称博格的思科日前宣布，旗下的网络安全网关(WSAv)、电子邮件安全网关(ESAV)以及安全管理网关(SMAv)等虚拟设备在远程支持服务里用的是默认密钥。
这些虚拟设备的默认授权SSH密钥和SSH主机密钥是硬编码的。
与此有关的安全公告指，“一旦有心人与受影响的平台上的管理接口建立了IP地址连接就可以利用这些产品的这个漏洞。无需额外的配置就可以利用该漏洞。”
思科为该漏洞推出了一个补丁(“cisco-sa-20150625-ironport SSH Keys Vulnerability Fix”)，并表示所有6月25日以前的版本需要打补丁进行修复。该补丁删除预装密钥并强制重置。
安全公告还表示，“2015年6月25日以后下载或升级的物理硬件设备，或虚拟设备无需打补丁。”
思科在给在WSAv、ESAV和SMAv镜像打补丁期间关掉了下载，但称新的版本会在“在几天内”公布，以期令客户可以在规划内更新时间表里更新。
文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/126032.html<
