Cisco 近期針對其網路管理與安全平台發布了一系列關鍵安全性更新，旨在修復 Crosswork 平台與 Secure Workload 軟體中的九個漏洞。根據 The Hacker News 的報導，這次更新是 Cisco 持續進行內部全面安全審查的一環。在這次揭露的漏洞中，有五個被評定為 CVSS 10.0 的最高風險等級，這意味著這些漏洞在理論上極其危險，且可能被攻擊者輕易利用來接管系統。
背景與風險評估
在資訊安全領域，CVSS（通用漏洞評分系統，Common Vulnerability Scoring System）是用於評估軟體漏洞嚴重程度的標準指標，分數範圍從 0 到 10。當一個漏洞被評為 10.0 分時，通常代表該漏洞不需要複雜的權限即可觸發，且能對機密性、完整性和可用性造成全面性破壞。由於 Cisco 的設備與軟體廣泛部署於全球企業網路的核心基礎設施中，任何高分漏洞都可能成為駭客入侵企業內網、部署惡意軟體或竊取敏感資料的絕佳切入點。
Crosswork 平台的漏洞分析
此次更新首先針對 Cisco Crosswork 平台，涵蓋了 Data Gateway（數據閘道）、Network Controller（網路控制器）以及 Planning（規劃模組）。受影響的版本為 7.2.1 及其更早版本，Cisco 已在 7.2.1-SP 版本中修復這些問題。
在 Crosswork 平台中，最嚴重的漏洞包括 SQL Injection（SQL 注入，指攻擊者透過輸入惡意 SQL 指令來操縱資料庫，進而讀取或刪除敏感資料）、缺少關鍵功能的身份驗證，以及對檔案系統的外部控制權。此外，還發現了憑證保護不足的問題。這類漏洞的組合使得攻擊者有可能在無需合法憑證的情況下，直接對資料庫進行操作或篡改系統檔案，對網路管理層級造成毀滅性影響。
Secure Workload 的安全缺陷
除了 Crosswork，Cisco Secure Workload 軟體（包含 SaaS 雲端服務與地端部署）也面臨五項漏洞威脅。受影響的版本包括 3.10 及更早版本，以及 4.0 版本。Cisco 已分別推出 3.10.9.1 與 4.0.4.16 版本進行修補。
Secure Workload 的漏洞類型較為多元且複雜。其中包含多組 Improper Neutralization（不當中和，指系統未能正確處理特殊字元），導致命令注入、作業系統注入或參數注入，這類攻擊通常允許駭客在伺服器上執行任意指令。同時，該產品還存在嚴重的存取控制缺陷，涵蓋了授權繞過與身份驗證失效。此外，路徑遍歷（Path Traversal，允許攻擊者存取預定目錄之外的檔案）以及記憶體緩衝區溢位（Buffer Overflow，導致程式崩潰或執行非法代碼）等低階記憶體管理問題也被納入此次修復範圍。
內部審查的意義與實務影響
值得注意的是，這次揭露的所有漏洞均是在 Cisco 的內部安全測試中發現的，目前尚未有證據顯示這些漏洞在現實世界中被積極利用。這顯示 Cisco 正在採取主動防禦策略，透過內部審查來強化軟體硬化（Software Hardening），在漏洞被外部駭客發現前先行修補。
然而，這種主動揭露也反映出網路設備軟體複雜度增加所帶來的挑戰。在短短兩週前，Cisco 才剛修復了影響 Catalyst SD-WAN 與 IOS XE 軟體的 12 個漏洞。對於企業 IT 管理者而言，這意味著維護 Cisco 設備的安全性不再僅僅是安裝一次更新，而必須建立常態化的補丁管理流程。由於 Cisco 設備在企業網路中的高普及率，一旦漏洞被公開且企業未及時更新，將會面臨極高的被攻擊風險。
限制與建議
儘管 Cisco 提供了更新版本，但對於許多大型企業而言，立即更新核心網路控制器或安全工作負載軟體可能會帶來系統停機風險或相容性問題。然而，面對 CVSS 10.0 的漏洞，延遲更新的成本將遠高於維護成本。
實務上，建議管理員優先檢查 Crosswork 與 Secure Workload 的版本號，並儘速升級至建議的安全版本。在無法立即更新的情況下，應加強對管理介面的存取控制，限制僅允許信任的 IP 位址進入，並密切監控系統日誌中是否有異常的 SQL 查詢或未經授權的指令執行紀錄，以降低潛在的風險。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。