聚焦源代码安全网罗国内外最新资讯编译代码卫士思科发布安全更新修复了位于 Secure Firewall Management Center (FMC) 软件中的两个满分漏洞CVE-2026-20079和CVE-2026-20131。Secure FMC 是一款基于 web 或 SSH 的接口供管理员管理思科防火墙和配置应用控制、入侵防御、URL 过滤和高阶恶意软件防护。这两个漏洞均可遭未经身份验证攻击者的远程利用认证绕过漏洞CVE-2026-20079可导致攻击者获得对底层操作系统的 root 访问权限而RCE漏洞CVE-2026-20131可导致攻击者在未修复设备上以 root 身份执行任意 Java 代码。CVE-2026-20079的安全公告提到“攻击者可通过向受影响设备发送构造 HTTP 请求的方式利用该漏洞。成功利用可导致攻击者执行多种脚本和命令从而获得对设备的 root 访问权限。攻击者可通过向受影响设备基于 web 的管理接口发送构造序列化 Java 对象的方式利用该漏洞可导致攻击者在设备上执行任意代码并将权限提升至 root。”虽然这两个漏洞均影响 Secure FMC 软件但 CVE-2026-20131还同时影响基于云的安全策略管理器思科 Security Cloud Control (SCC) Firewall Management而改管理器可简化思科防火墙和其它设备的策略。目前思科表示尚未发现这两个漏洞遭在野利用或者 PoC 利用代码已公开发布的证据。另外思科还修复了十几个其它漏洞其中15个高危漏洞位于 Secure FMC、Secure Firewall Adaptive Security Appliance 和 Secure Firewall Threat Defense 软件中。去年8月思科还修复了另外一个满分的Secure FMC 漏洞并提醒该漏洞可导致未经身份验证的远程攻击者注入可在未修复设备上执行的任意 shell 命令。今年1月份思科还修复了一个 AsyncOS 0day漏洞该漏洞自去年11月起已遭利用目前已修复。上个月思科 Catalyst SD-WAN 认证绕过漏洞也在0day 状态下遭利用可导致远程攻击者攻陷控制器并向目标网络添加恶意欺诈对等节点。开源卫士试用地址https://oss.qianxin.com/#/login代码卫士试用地址https://sast.qianxin.com/#/login推荐阅读思科修复已遭利用的 Unified CM RCE 0day漏洞思科速修复已出现 exp 的身份服务引擎漏洞思科修复 Contact Center Appliance 中的多个严重漏洞速修复思科ASA 两个0day漏洞已遭利用列入 CISA KEV 清单思科修复影响路由器和交换机的 0day 漏洞原文链接https://www.bleepingcomputer.com/news/security/cisco-warns-of-max-severity-secure-fmc-flaws-giving-root-access/题图Pixabay License本文由奇安信编译不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。奇安信代码卫士 (codesafe)国内首个专注于软件开发安全的产品线。觉得不错就点个 “在看” 或 赞” 吧~