思科發(fā)布安全更新 修復(fù)網(wǎng)絡(luò)互聯(lián)操作系統(tǒng)重要漏洞

Cisco IOS XR(下一代網(wǎng)絡(luò)和思科運營商路由系統(tǒng))是思科公司一個完全模塊化、完全分布式的網(wǎng)絡(luò)互聯(lián)操作系統(tǒng)。它使用基于微內(nèi)核的內(nèi)存，受保護的架構(gòu)可以嚴格地隔離操作系統(tǒng)的所有組件：從設(shè)備驅(qū)動程序文件系統(tǒng)管理接口到路由協(xié)議，從而可以確保完全的流程隔離和故障隔離。憑借輝煌的歷史、一流的路由協(xié)議和更出眾的網(wǎng)絡(luò)可控性，IOS XR 適用于從邊緣到核心的各種路由平臺。

12月1日，思科公司發(fā)布了安全更新，主要修復(fù)了IOS XR網(wǎng)絡(luò)互聯(lián)操作系統(tǒng)中發(fā)現(xiàn)的重要漏洞。

用于Cisco IOS XR 64位軟件的增強型預(yù)引導(dǎo)執(zhí)行環(huán)境(PXE)引導(dǎo)加載程序中的漏洞可能允許未經(jīng)身份驗證的遠程攻擊者在受影響的設(shè)備上的PXE引導(dǎo)過程中執(zhí)行未簽名的代碼。PXE引導(dǎo)加載程序是BIOS的一部分，通過僅運行Cisco IOS XR軟件的硬件平臺的管理接口運行。

存在此漏洞是因為未正確驗證PXE網(wǎng)絡(luò)啟動過程加載軟件映像時發(fā)出的內(nèi)部命令。攻擊者可以通過破壞PXE引導(dǎo)服務(wù)器并將有效的軟件映像替換為惡意映像來利用此漏洞?；蛘?，攻擊者可能冒充PXE引導(dǎo)服務(wù)器并發(fā)送帶有惡意文件的PXE引導(dǎo)回復(fù)。成功的利用可能使攻擊者在受影響的設(shè)備上執(zhí)行未簽名的代碼。

注意：要解決此漏洞，必須同時升級Cisco IOS XR軟件和BIOS。BIOS代碼包含在Cisco IOS XR軟件中，但可能需要其他安裝步驟。

關(guān)鍵詞： 思科 安全更新