思科公开AnyConnect VPN 高危0day，exploit 代码已公开

思科正在解决该 0day，修复方案将在未来的 AnyConnect 客户端发布。思科产品安全事件响应团队 (PSIRT) 指出，该漏洞尚未遭在野利用。

该高危漏洞的编号是 CVE-2020-3556，位于思科 AnyConnect 客户端的进程间通信 (IPC) 信道中，或可导致认证的本地攻击者通过目标用户执行恶意脚本。

该 0day 影响具有易受攻击配置的Windows、Linux 和 macOS 系统的所有 AnyConnect 客户端版本，移动 iOS 和安卓客户端不受影响。

思科解释称，“易受攻击的配置要求启用 Auto Update设置和 Enable Scripting 设置。Auto Update 默认启用，而 Enable Scripting 默认禁用。“

成功利用该0day 还要求目标设备上具有活跃的 AnyConnect 会话和有效的凭据。

尽管目前尚不存在任何应变措施，但用户可通过禁用 Auto Update 功能的方式缓解。

另外，也可通过禁用设备上的 Enable Scripting 配置设置极大地减少攻击面。

该漏洞由 Secure Mobile Networking Lab (TU Darmstadt) 公司的研究员 Gerbert Roitburd 报告给思科。

另外，思科还修复了多款产品中的其它11个高危漏洞和23个中危漏洞。这些漏洞可在易受攻击设备上造成拒绝服务或任意代码执行后果。思科曾分别在9月份和7月份修复了多款运营商级路由器和 ASA/FTD 防火墙中遭活跃利用的缺陷。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。