当地时间9月5日，Cisco官方发布了30份关于其产品不同程度漏洞的安全报告，其中包括3个严重漏洞。
漏洞描述
CVE-2018-11776
Apache Struts2远程代码执行漏洞（CVE-2018-11776）影响思科产品 (Critical)
Apache Struts2中的漏洞可能允许未经身份验证的远程攻击者在目标系统上执行任意代码。
受影响产品：
下表列出了受此漏洞影响的思科产品，未在下表中列出的产品或服务均应视为不易受到攻击。其中标有星号（*）的易受攻击产品包含受影响的Struts库，但介于该库在产品中的使用方式，这些产品不易受到思科当前已知的任何利用向量的影响。
| 产品 | Cisco Bug ID | 已修复版本可用性 |
| 协作和社交媒体 | ||
| Cisco SocialMiner * | CSCvk78903 | 补丁将于2018年9月11日发布 |
| 端点客户端和客户端软件 | ||
| Cisco Prime Service Catalog * | CSCvm13989 | |
| 网络和内容安全设备 | ||
| Cisco Identity Services Engine (ISE) | CSCvm14030 | 补丁文件于2018年8月31日发布 |
| 语音和统一通信设备 | ||
| Cisco Emergency Responder * | CSCvm14044 | |
| Cisco Finesse * | CSCvk78905 | 补丁将于2018年9月7日发布 |
| Cisco Hosted Collaboration Solution for Contact Center * | CSCvm14052 | |
| Cisco MediaSense * | CSCvk78906 | |
| Cisco Unified Communications Manager * | CSCvm14042 | |
| Cisco Unified Communications Manager IM & Presence Service (formerly CUPS) * | CSCvm14049 | |
| Cisco Unified Contact Center Enterprise * | CSCvm13986 | |
| Cisco Unified Contact Center Enterprise – Live Data server * | CSCvk78902 | 补丁将于2018年9月7日发布 |
| Cisco Unified Contact Center Express * | CSCvm21744 | |
| Cisco Unified Intelligence Center * | CSCvm13984 | |
| Cisco Unified Intelligent Contact Management Enterprise * | CSCvm13986 | |
| Cisco Unified SIP Proxy Software * | CSCvm13980 | |
| Cisco Unified Survivable Remote Site Telephony Manager * | CSCvm13979 | |
| Cisco Unity Connection * | CSCvm14043 | |
| Cisco Virtualized Voice Browser * | CSCvm14056 | |
| 视频，流媒体，网真和转码设备 | ||
| Cisco Video Distribution Suite for Internet Streaming (VDS-IS) * | CSCvm14027 | 2.3.35 (2018年9月15日) |
| 思科云托管服务 | ||
| Cisco Network Performance Analysis | CSCvm14040 | |
解决方案：
受影响的思科产品或服务的解决办法都将记录在特定产品或特定服务的Cisco Bug中，请参阅上表中“Cisco Bug ID”进行访问。
参考链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180823-apache-struts#vulnerable
CVE-2018-0435 (Critical)
Cisco Umbrella API中存在的漏洞可能允许经过身份验证的远程攻击者查看和修改其组织和其他组织中的数据。
该漏洞的产生是由于Cisco Umbrella API接口的身份验证配置不足。成功利用该漏洞可能允许攻击者跨多个组织读取或修改数据。
CVSS 3.0 评分：
Base 9.1 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H/E:X/RL:X/RC:X
受影响产品：
此漏洞影响Cisco Umbrella服务。
解决方案：
思科已经在Cisco Umbrella production API中修复了该漏洞。无需用户操作来应用补丁。
相关链接：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180905-umbrella-api
CVE-2018-0423 (Critical)
Cisco RV110W Wireless-N VPN防火墙、Cisco RV130W Wireless-N多功能VPN路由器和Cisco RV215W Wireless-N VPN路由器的Web管理界面中存在的漏洞可能允许未经身份验证的远程攻击者导致拒绝服务攻击或执行任意代码。
该漏洞是由于Web管理界面的Guest用户功能中对用户提供的输入边界限制不当造成的。攻击者可以通过向目标设备发送恶意请求来利用此漏洞，从而触发缓冲区溢出。成功利用该漏洞可能允许攻击者使设备停止响应，导致拒绝服务攻击，或者允许攻击者执行任意代码。
CVSS 3.0 评分：
Base 9.8 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:X/RL:X/RC:X
受影响产品：
此漏洞会影响以下Cisco产品的所有版本：
- RV110W Wireless-N VPN防火墙
- RV130W Wireless-N多功能VPN路由器
- RV215W Wireless-N VPN路由器
仅当启用Web管理界面的Guest用户时，设备才容易受到攻击。这些设备的Web管理界面可通过本地LAN连接或远程管理功能获得。
默认情况下，对受影响的设备禁用远程管理功能。要确定是否已启用远程管理功能，请通过本地LAN连接打开设备的Web管理界面，然后选择“基本设置”>“远程管理”。如果选中“启用”复选框，则会为设备启用远程管理。
默认情况下，Guest用户也被禁用。要确定是否已启用Guest用户，请打开设备的Web管理界面，然后选择“ 管理”>“用户”。在“帐户激活”中，验证Guest用户是否处于非活动状态。
解决方案：
对于Cisco RV130W Wireless-N多功能VPN路由器，思科发布了免费的固件更新，客户可以通过Cisco.com上的软件中心下载固件更新，地址参见下方相关链接。
对于Cisco RV110W Wireless-N VPN防火墙和Cisco RV215W Wireless-N VPN路由器，思科尚未发布并且不会发布解决该漏洞的固件更新。
相关链接：
https://software.cisco.com/download/home
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180905-rv-routers-overflow
声 明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。