Cisco对其两大产品存在SSL漏洞发出警告

本周一，Cisco公司对它的两个网络安全产品发表了一个安全报告，并发布了修复该漏洞的软件。

攻击者利用这个漏洞可以获得私人登录安全信息，或者通过CiscoWorks IDS传感器管理中心（IDSMC――Management Center for IDS Sensors）发送虚假的数据来操纵Cisco的入侵检测防御系统的配置信息。

美国马萨诸塞州Woburn的一个安全公司的一位高级技术顾问Shane Coursen说：“Cisco的设备在Internet上是不可或缺的中坚部分，所以在Cisco设备上的任何一个漏洞都会变成那些别有用心的人利用的对象。”

“如果他们利用这个特殊的漏洞，他们就能展开大规模的攻击。”

特别需要指出的是，这个报告强调IDSMC中的SSL认证和Cisco的安全监控中心存在漏洞。

通过SSL认证的虚假IDSMC能够使部分网络泄密，并向攻击者报告产品的性能。攻击者能够利用泄密的登录信息逐个获得其它被限制的东西和网络的更深部分。

然而这是在SSL的核心，安全研究者们不能看到重要的漏洞，也不能在SSL协议漏洞中增加实例。

Coursen说：“这种情况太普遍了。它是安全协议的圣杯吗？不，但它的确是一个好的系统和协议。”

美国新罕布什尔州Portsmouth的NitroSecurity安全公司的产品和市场高级副主管Bill Clark说：“他们在这些产品上使用SSL和Cisco怎样处理SSL认证在某种程度上说是一个漏洞。”

“你能够使用假的认证信息入侵系统，然后看到安全信息和增加不应该出现在那里的附加信息。”

Coursen说黑客经常留心安全报告，然后创建新的攻击方法，但关于这个漏洞的概念型验证代码看起来没有出现这种情况。Cisco的San Jose说目前什么都没有发现。

一位Cisco的发言人通过eWeek.com说：“到目前为止，Cisco没有发现这个漏洞的任何的攻击，Cisco已经发布了一个免费的修补程序。用户如果要想了解更多的细节，包括修补程序介绍在内，需要去查阅安全报告。”

IPSMC 2.1版本和安全监控中心2.1版本的Service Pack 1已经在Cisco的Web站点可以下载了。

Cisco说Service Pack修补了监控和认证信息，当证书改变并且允许监控中心在证实有变化发生而结束一个连接时，会提供消息。

今年晚些时候可能会有一个修订版发布，修订版将能允许IPSMC结束连接。