安全研究

威胁情报
RSA Authentication Agent 漏洞 (CVE-2017-14377,CVE-2017-14378)

综述

近日,RSA Authentication Agent被发现存在2个关键漏洞:

CVE-2017-14377CVE-2017-14378。成功利用这些漏洞可能导致验证绕过从而访问其他资源。具体的漏洞信息请参考下文。


相关链接:

http://securityaffairs.co/wordpress/66325/hacking/rsa-authentication-sdk-flaws.html

http://seclists.org/fulldisclosure/2017/Nov/46

http://seclists.org/fulldisclosure/2017/Nov/48


CVE-2017-14377

用于Apache Web ServerRSA身份验证代理的Web上的安全漏洞可能会导致身份验证绕过。

CVSS v3.0 Base Score: 10

(AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N)


影响的产品及版本

-   RSA® Authentication Agent for Web: Apache Web Server version 8.0

-   RSA® Authentication Agent for Web: Apache Web Server version 8.0.1 prior to Build 618


不受影响的产品及版本

-   RSA Authentication Agent for Web: Apache Web Server version 8.0.1 Build 618


处理方案

RSA建议所有用户尽快升级到安全版本。


参考链接

https://community.rsa.com/community/products/securid/authentication-agent-web-apache.

http://seclists.org/fulldisclosure/2017/Nov/46


CVE-2017-14378

RSA Authentication Agent API / SDK for C版本8.58.6中的一个安全漏洞可能导致在某些有限的实现中绕过身份验证

CVSS v3 Base Score: 10

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H


影响的产品及版本:

-   RSA® Authentication Agent API 8.5 for C

-   RSA® Authentication Agent SDK 8.6 for C


不受影响的产品及版本

-   RSA Authentication Agent for Web: Apache Web Server version 8.0.1 Build 618


处理方案

RSA建议所有用户尽快升级到安全版本,同时请确保其API / SDK的实现符合“RSA身份验证代理API for C开发人员指南中记录的编码准则。


参考链接:

https://community.rsa.com/docs/DOC-40601#agents

http://seclists.org/fulldisclosure/2017/Nov/48


声 明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。



浏览次数:

关 闭