思科针对Catalyst SD-WAN Manager中的关键漏洞发布了安全补丁。思科已确认这些漏洞尚未被广泛利用，至少到目前为止是这样。

网络、IT、电信和网络安全解决方案提供商思科发布了重要安全公告 ，提醒用户注意其Catalyst SD-WAN Manager（以前称为Cisco SD-WAN vManage）中发现的漏洞。

该公司在产品中发现了多个漏洞，攻击者可以利用这些漏洞获得未经授权的访问或对受感染的系统发起拒绝服务(DoS)攻击。具有提升权限的攻击者可以安装程序、修改/查看/删除数据以及创建具有完全权限的新用户帐户。但是，与拥有管理权限帐户的用户相比，拥有较少权限帐户的用户可能不会受到那么大的影响。

思科的公告称，这些漏洞都不是相互依赖的。这意味着无需利用多个缺陷即可取得成功。此外，受这些缺陷之一影响的软件版本不一定会受到其他软件缺陷的影响。

易受影响的产品：
思科 Catalyst SD-WAN 管理器 20.3 – 20.12

非易受攻击的产品：
iOS XE 软件
SD-WAN cEdge 路由器
SD-WAN vEdge 路由器

思科已确认这些漏洞尚未被广泛利用。高风险实体包括大中型政府机构/组织，而小型政府实体的风险强度对于家庭用户而言为中度和低度。

CVE-2023-20252的严重程度非常严重，CVSS评分为9.8。它允许通过SAML（安全断言标记语言）API对SD-WAN Manager进行未经授权的访问。未经身份验证的参与者可以以任意用户身份获得对应用程序的未经授权的访问。

CVE-2023-20253已被评为“高”，CVSS评分为8.4。它是在管理器的CLI（命令行界面）中找到的。它可以让经过身份验证的具有只读权限的本地参与者逃避授权过程、反向控制器配置并将其部署到下游用户。

CVE-2023-20034也被评为“高”，CVVSS基本分数为7.5。这是一个信息泄露漏洞，允许未经身份验证的远程攻击者通过获取Elasticsearch用户权限来访问受影响系统的Elasticsearch数据库。

CVE-2023-20254具有高严重性评级，CVSS评分为7.2。它与管理器的多租户功能的会话管理系统相链接。未经授权的远程参与者可以访问另一个租户并进行未经授权的配置更改或引发DoS攻击。

CVE-2023-20262是一个中等严重性漏洞，CVSS评分为5.3。它是在管理器的SSH（安全外壳）服务中发现的，可能会导致崩溃，从而导致SSH访问出现DoS情况。

这些问题会影响Cisco Catalyst SD-WAN Manager。思科已发布免费软件更新 来解决这些问题。由于没有解决这些问题的方法，因此有必要修复软件以保持受保护。