Cisco Remote PHY 120、Remote PHY 220和Remote PHY Shelf 7200命令注入漏洞

CVE编号

CVE-2020-3176

利用情况

暂无

补丁情况

N/A

披露时间

2020-03-05

漏洞描述

Cisco Remote PHY 120等都是美国思科（Cisco）公司的一款远程PHY（端口物理层）设备。 Cisco Remote PHY 120 Release 7.7之前版本、Remote PHY 220（全部版本）和Remote PHY Shelf 7200（全部版本）中存在命令注入漏洞，该漏洞源于程序没有正确清理用户提交的输入。本地攻击者可借助特制的参数利用漏洞以root用户身份执行任意命令。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rphy-cmdinject-DpEjeTgF

参考链接
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	cisco	remote_phy_120_firmware	*		Up to (excluding) 7.7
	运行在以下环境
	系统	cisco	remote_phy_220_firmware	*	-
	运行在以下环境
	系统	cisco	remote_phy_shelf_7200_firmware	*	-
	运行在以下环境
	硬件	cisco	remote_phy_120	-	-
	运行在以下环境
	硬件	cisco	remote_phy_220	-	-
	运行在以下环境
	硬件	cisco	remote_phy_shelf_7200	-	-

CVSS3评分 6.7

• 攻击路径 本地
• 攻击复杂度 低
• 权限要求 高
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）