思科本周发布了三份安全建议，其中两份涉及其广域应用程序服务(WAAS) WAN优化设备和内容和视频网络设备，第三个则在运行多个产品OSPF。思科发布了免费软件更新，以解决所有产品组的漏洞。
其中两个漏洞会影响配置为中央管理器或在中央管理模式下运行的WAAS和内容/视频产品。在为WAAS在这种情况下，当配置为中央管理器时，未经身份验证的远程攻击者可以执行任意代码，使其能够管理访问所管理的所有设备为WAAS中央管理器。
(纲要:思科的安全咨询页面]
每个WAAS网络必须有一个主要的WAAS中央管理器设备，该设备负责管理网络中的其他WAAS设备，思科咨询指出。
受影响的WAAS软件列在咨询中。4.2.1之前的软件版本不受影响。
思科在解决一个支持案例时发现了该漏洞。该公司不知道有任何公开声明或恶意使用该漏洞。
的内容和视频传送当产品处于中央管理模式时，也会出现类似的问题，但是经过身份验证但没有特权的用户可以利用该漏洞。攻击者可以向受影响设备及其关联的受管理设备的操作系统注入任意命令。
从咨询:
该漏洞是由于未能正确地清理用户输入，而用户输入随后将使用设备的底层命令行界面执行操作。经过身份验证但没有特权的攻击者可以通过登录到受影响系统的GUI并在传递给系统的某些值中附加任意代码来利用此漏洞。
受影响的产品和软件发布的列表可在咨询中找到。它指出命令注入漏洞是在内部测试期间发现的。
思科表示，与WAAS一样，它不知道有任何公开声明或恶意使用该漏洞。
一个第三次咨询针对多个思科产品(包括IOS、IOS- xe和NX-OS)中OSPF精心制作的包的情况。该协议的链接状态广告(LSA)数据库允许未经身份验证的攻击者完全控制OSPF自治系统域路由表和黑洞，并拦截流量。
该警告称，攻击者可以通过注入精心设计的OSPF包来触发该漏洞，这些包可以刷新目标路由器上的路由表，并传播精心设计的包。该漏洞只能通过发送精心制作的单播或组播LSA类型1数据包来触发。
受影响的产品包括为OSPF配置的思科IOS软件，但不包括OSPFv3;IOS-XE;防火墙服务模块，包括ASA和PIX软件;NX-OS;还有asr5000。OSPFv3不受影响，Fabric最短路径也不是优先的。
要恢复受影响的系统，管理员可以删除OSPF配置并再次启用它，或者重新加载它。但该报告指出:
通过以下命令清除OSPF进程或路由表清除ip ospf进程或清晰的ip路由没有任何效果，不能用于恢复受影响的系统。
除了发布免费软件来解决这个漏洞，思科表示也有解决办法，比如启用OSPF认证。它是由研究人员发现的拉斐尔先进防御系统以及以色列的本古里安大学。
更多来自思科子网:
思科公司(Cisco)内部人士宣称，该公司拥有“无惩罚”的架构
遵守所有 Twitter上的思科子网博客 。 Jim Duffy在推特上说遵循