Cisco 多個產品存在多個安全性弱點，可能使遠端攻擊者利用該弱點取得受影響系統之控制權，官方已發布更新。

目前已知會受到嚴重影響的產品為 Cisco RV110W Wireless-N VPN Firewall、Cisco RV130W Wireless-N Multifunction VPN Router、Cisco RV215W Wireless-N VPN Router、Cisco Umbrella API，Cisco SocialMiner、Cisco Prime Service Catalog、 Cisco Identity Services Engine (ISE)、Cisco Emergency Responder、Cisco Finesse、Cisco Hosted Collaboration Solution for Contact Center、Cisco MediaSense、Cisco Unified Communications Manager IM & Presence Service (formerly CUPS)、Cisco Unified Communications Manager、Cisco Unified Contact Center Enterprise - Live Data server、Cisco Unified Contact Center Enterprise、Cisco Unified Contact Center Express、Cisco Unified Intelligence Center、Cisco Unified Intelligent Contact Management Enterprise、Cisco Unified SIP Proxy Software、Cisco Unified Survivable Remote Site Telephony Manager、Cisco Unity Connection、Cisco Virtualized Voice Browser、Cisco Video Distribution Suite for Internet Streaming (VDS-IS)、Cisco Network Performance Analysis (Apache Struts 2.3.34 (含)之前版本、Apache Struts 2.5.16 (含)之前版本)。 

受影響系統

請參考 Cisco 官網下載 更新至建議最新版本

近日 Cisco 發布多個重大安全更新，遠端攻擊者可藉由多個弱點來控制受影響的系統。

1.Cisco Wireless-N 中 VPN 產品的 Web 管理平台存在弱點，由於 Web 管理平台的訪客 (Guest) 功能中對用戶提供的輸入邊界未正確限制，遠端攻擊者可利用該弱點，透過向目標設備發送惡意請求造成緩衝區溢出 (buffer overflow)，使設備停止回應，進而導致阻斷服務攻擊和允許執行任意程式碼。
2.Cisco Umbrella 的 API 存在弱點，由於 API 介面的身份驗證配置不完全，遠端攻擊者可以利用此弱點規避驗證並成功存取，進而可能竄改所有者或其他所有者的配置數據。
3.Cisco 多個產品使用 Apache Struts 遠端程式碼執行 (Remote Code Execution) 存在弱點，由於未能充分驗證用戶的輸入訊息，允許沒有命名空間值的結果和使用空值或帶 action 的 url 標籤。若上層操作或配置亦未宣告命名空間，遠端攻擊者可利用此弱點發送惡意輸入請求，進而在目標系統上受影響服務的安全性內容中執行任意程式碼。

另有其他尚未列出之弱點，詳細資訊請參考Cisco官方網站。

cisco-sa-20180823-apache-struts (2018/09/06)
cisco-sa-20180905-umbrella-api (2018/09/05)
cisco-sa-20180905-rv-routers-overflow (2018/09/05)
Cisco Security Advisories and Alerts (2018/09/05)
US-CERT (2018/09/05)