安全漏洞：CN-VA09-90
发布日期：2009年9月27日
漏洞类型：拒绝服务
漏洞评估：严重
公开程度：公共

　思科公司9月23日发布了重要的路由固件和操作系统补丁。此次一共发现了12款产品中有安全漏洞，思科公司就这些漏洞发布了11个安全漏洞公告。

漏洞描述： 
    *Cisco IOS对象组访问控制列表绕过漏洞
    Cisco IOS软件存在漏洞，当使用了基于ACL的对象组时允许未授权攻击者绕过访问控制策略。

    *Cisco IOS HTTP(S)验证代码授权绕过漏洞
    远程攻击者可以利用漏洞在特定条件下绕过验证访问应用系统。

    *Cisco Unified Communications Manager SIP消息拒绝服务漏洞
    Cisco Unified Communications Manager的SIP存在漏洞。当Cisco Unified Communications Manager处理经特殊构建的SIP消息时可触发此漏洞。成功利用漏洞可导致主Cisco Unified Communications Manager进程重载。

    *Cisco Unified Communications Manager Express可扩展移动实现缓冲区溢出漏洞
    Cisco Unified CME可扩展移动功能的登录部分存在漏洞，允许未授权攻击者执行任意代码或进行拒绝服务攻击。

    *Cisco IOS H.323拒绝服务漏洞
    Cisco IOS软件中的H.323实现包含一个漏洞，攻击者可以发送一个经特殊构建的h.323报文给运行Cisco IOS软件的受影响设备来触发此漏洞。

    *Cisco IOS基于域策略防火墙SIP检测远程拒绝服务漏洞
    配置了Cisco IOS基于域的策略防火墙SIP检测的Cisco IOS软件在处理特殊的SIP传送报文时存在拒绝服务漏洞。成功利用此漏洞可导致受影响设备重新启动。

    *Cisco IOS软件Internet密钥交换资源耗竭远程拒绝服务漏洞
    远程攻击者可以利用漏洞对服务程序进行拒绝服务攻击。

    *Cisco IOS NTPv4应答报文远程拒绝服务漏洞
    当Cisco IOS软件设备支持NTPv4接收到特定的NTP报文并在建立NTP应答报文时存在漏洞，可导致服务程序崩溃。

    *Cisco IOS SIP消息拒绝服务漏洞
    当设备运行的Cisco IOS映像包含Cisco Unified Border Element功能时，Cisco IOS软件的SIP存在拒绝服务漏洞，通过处理一系列经特殊构建的SIP消息可触发此漏洞。

    *Cisco IOS特殊构建加密报文远程拒绝服务漏洞   
    远程攻击者可以利用漏洞对服务程序进行拒绝服务攻击。

    *Cisco IOS软件隧道多个拒绝服务漏洞
    运行Cisco IOS软件和配置了GRE, IPinIP, Generic Packet Tunneling in IPv6或IPv6 over IP和Cisco快速转发的设备，在交换特殊构建的畸形报文时存在漏洞，可导致设备重载。

解决方案：

　　Cisco已经提供了补丁，CNCERT提醒广大用户及时下载更新。

参考信息：
http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_sep09.html

信息提供者：
Cisco

其它信息：

相关CVE编号：
CVE-2009-2862、CVE-2009-2863、CVE-2009-2864、CVE-2009-2865、CVE-2009-2866、CVE-2009-2867、CVE-2009-2868、CVE-2009-2869、CVE-2009-2870、CVE-2009-2871、CVE-2009-2872、CVE-2009-2873

漏洞报告文档编写：

　　CNCERT/CC

安全公告文档编写：
　　
　　CNCERT/CC
-----------------------------------------------------------------------------------

　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。

　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心：http://www.cert.org.cn/servlet/Incident

　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。

　　如果您发现本公告存在任何问题，请与我们联系： cncert@cert.org.cn