思科于本周通知其用户修补一个严重漏洞，该漏洞可能允许攻击者绕过身份验证并登录到思科电子邮件网关设备的Web管理界面。该安全漏洞(编号为CVE-2022-20798)是在思科电子邮件安全设备(ESA)以及思科安全电子邮件和Web管理器设备的外部身份验证功能中发现的。该编号为CVE-2022-20798的漏洞是由于受影响设备使用LDAP (Lightweight Directory Access Protocol)进行外部认证时，认证检查不正确导致的。

对此，思科在回应中并表示，攻击者可以通过在受影响设备的登录页面上输入特定输入来利用此漏洞，成功的利用可能允许攻击者未经授权访问受影响设备的管理界面。该漏洞是在解决 Cisco TAC（技术援助中心）支持案例期间发现的，思科的产品安全事件响应团队 (PSIRT) 表示，目前还没有利用此安全漏洞的消息，且此漏洞仅影响配置为使用外部身份验证和LDAP作为身份验证协议的设备。不过据思科称，默认情况下外部身份验证功能是禁用的，这意味着只有具有非默认配置的设备才会受到影响。如需检查设备上是否启用了外部身份验证，请登录基于Web的管理界面，转至系统管理 > 用户，然后在“启用外部身份验证”旁边查找绿色复选框。思科还表示，此漏洞不会影响其他安全网络设备产品，比如思科网络安全设备 (WSA)。无法立即安装CVE-2022-20798安全更新的管理员也可以禁用外部经过身份验证服务器上的匿名绑定来解决此问题。

今年2月份，思科还修复了另一个安全电子邮件网关漏洞 ，该漏洞可能允许远程攻击者使用恶意制作的电子邮件使未修补的设备崩溃。同时，思科也表示不会修复影响RV110W、RV130、RV130W和RV215W SMB等即将停产的路由器关键零日漏洞，该漏洞允许攻击者以根级权限执行任意命令。

来源:FreeBuf.COM