思科公司竟然出了这样的漏洞，难怪被黑客入侵了

就在前几天，思科一共发布了16项的安全建议，据了解到在CVSSv3严重性评分中几乎全都收到，其中一共有三个被评为 “严重”的漏洞警报。后门帐户与思科数字网络体系结构(DNA)中心认证系统的两个旁路就是那三个漏洞。

思科DNA中心被大家称作是一款针对企业客户的软件，它在用于大型网络中设计和部署设备配置提供了一个中央系统。其实这已经可以说是一个相对于比较复杂的软件，但是据思科称，最近一次内部审计中得出了惨不忍睹的结果。

CVE-2018-0222

CVE-2018-0222作为漏洞之中的第一个，我们也可以理解为是最容易被利用的一个漏洞，作为被思科描述为未公开的“默认管理帐户”静态用户凭据，其实这只是一条更长途径用于拼写后门帐户。但是作为没有透露该帐户的默认名及密码的一方，他当即表示可以授予目标系统上的攻击者root权限。由于公司暂时没有办法找到解决方法可以在安装更新之前将其禁用，所以他建议用户尽快删除该帐户通过应用软件修补程序的方式。

CVE-2018-0268

CVE-2018-0268就是漏洞的第二个，它可以说是思科DNA中心内部嵌入的Kubernetes容器管理子系统的认证旁路。“有能力访问Kubernetes服务端口的攻击者可以在提供的容器中使用提升的特权执行命令，”思科说。“成功的利用可能会导致受影响的集装箱的完全折中。”

与以前的缺陷一样，没有解决方法，用户为了保护自己就可以必须更新他们的DNA中心。

CVE-2018-0271

你们不要以为CVE-2018-0271排在最后就完全不重要了，他可是DNA中心的API网关中的认证旁路。由于在服务请求之前未能对URL进行规范化的操作导致引发了该漏洞的出现，但是思科的相关负责人解释 “攻击者可以通过提交旨在利用该问题的精心设计的URL来利用此漏洞。让攻击者获得对关键服务的未经授权的访问就会是一个成功的漏洞利用攻击，从而提高DNACenter的权限。”

DNACenterv1.1.3中所有的三个问题被思科完全解决。但是该公司发现了作为2015年12月开始的大规模内部审计的一部分的这些缺陷。在软件中国内出了名黑客组织东方联盟与其安全研究人员发现了一个可以解密VPN流量的后门帐户，在攻击者发现他们之前思科决定搜寻并找到任何类似的后门。该公司在过去两年中发现了许多后门和硬编码账户，明明付出了努力却受到了许多不公平的批评令人愤慨。思科发现的最新后门是在3月份，工程师在当时发现了两个都在思科的PCP平台 (PrimeCollaborationProvisioning)中，而另外一个在IOSXE操作系统中发现了。