发布日期：2005-02-24
更新日期：2005-02-28

受影响系统：

Cisco ACNS 5.2
Cisco ACNS 5.1
Cisco ACNS 5.0
Cisco ACNS 4.x

描述：

---

Cisco ACNS是一款应用程序和内容网络系统。

Cisco ACNS对部分通信缺少正确处理和存在默认管理密码，远程攻击者可以利用这些漏洞进行拒绝服务攻击或管理设备系统。

ACNS软件提供WEB应用加速和缓存服务，CISCO ACNS软件存在4个拒绝服务攻击和包含一个默认管理员密码。运行ACNS软件的设备如果配置成透明代理服务，转发代理服务或者反向代理服务时存在拒绝服务。具体问题如下所描述：

* CSCef27476 - 特殊构建的TCP连接可使ACNS缓存进程重启动导致缓存信息丢失和降低WEB浏览请求服务的性能。重复利用此漏洞可导致拒绝服务攻击。

* CSCef30460 - 部分畸形IP包可导致CPU利用达到100%，需要重新启动获得此正常服务。

* CSCeg49648 - 部分畸形包可导致RealServer RealSubscriber消耗大量CPU资源而使所有服务性能降低，需要重新启动获得此正常服务。

* CSCeg23731 - 部分畸形IP包可使ACNS持续转发特殊构建包拷贝，消耗大量网络带宽，利用率达到100%，这会影响本身的设备和同一网络段的相同设备。需要重新启动获得此正常服务。

* CSCef30743 - 如果ACNS设置对话框之前没有运行或管理密码没有手工更改，ACNS默认包含一个管理员密码，攻击者可以利用此密码控制系统。

要检查是否运行ACNS软件，可登录设备执行"show version"命令，如果包含如下类似信息就表示运行了ACNS：

    Application and Content Networking System Software (ACNS)
    
    Copyright 1999-2003 by Cisco Systems, Inc.
    
    Application and Content Networking System Software Release 5.1.5
    (build b2 Mar 30 2004)

<*来源：Cisco安全公告
  
  链接：This advisory is posted at http://www.cisco.com/warp/public/707/cisco-sa-20050224-acnsdos.shtml
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如果运行了RealServer RealSubscriber，就使用"no rtsp server real-subscriber enable"命令关闭：

       cacheengine#show rtsp server

       Real Subscriber version: ce7325-9.0.2.855
       Real Subscriber enabled
       Real Subscriber running
       Real Subscriber end user license agreement accepted
       Real Subscriber evaluation enabled. Estimated 17 days 21 hours
       left for evaluation.
       Real Subscriber license key not installed
       Real Subscriber bandwidth enforced is 522240 kbps

       cacheengine#configure terminal
       cacheengine(config)#no rtsp server real-subscriber enable
       cacheengine(config)#exit

* 可使用如下命令更改密码：

      Username: admin
      Password:
      System Initialization Finished.
      Cacheengine#configure terminal
      cacheengine(config)#username admin password <password>

* 使用访问控制列表(ACL)。在ACNS设备和过滤到ACNS设备内部外部通讯的屏蔽路由器，交换机和防火墙上配置ACL，这样仅允许来自合法，可信任IP地址的IP通讯。

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20050224-acnsdos）以及相应补丁:
cisco-sa-20050224-acnsdos：ACNS Denial of Service and Default Admin Password Vulnerabilities
链接：
http://www.cisco.com/warp/public/707/cisco-sa-20050224-acnsdos.shtml

升级过程可参考以下文档：

* Cisco ACNS Software Deployment and Configuration Guide, Release
  5.0 Chapter 10: Upgrading and Downgrading the Software

  http://www.cisco.com/univercd/cc/td/doc/product/webscale/uce/acns50/deploy50/50upgrd.htm

  注意：此过程包含从4.X迁移到ACNS 5.X软件的步骤。

* Cisco ACNS Software Deployment and Configuration Guide, Release
  5.1 Chapter 15: Upgrading and Downgrading the Software
    
  http://www.cisco.com/univercd/cc/td/doc/product/webscale/uce/acns51/deploy51/51upgrd.htm

  注意：此过程包含从4.X迁移到ACNS 5.X软件的步骤。

* Cisco ACNS Software Configuration Guide for Centrally Managed
  Deployments, Release 5.2 Chapter 17: Upgrading and Downgrading
  the Software

  http://www.cisco.com/univercd/cc/td/doc/product/webscale/uce/acns52/dcg52/5645upgd.htm

  注意：此过程包含从4.X迁移到ACNS 5.X软件的步骤。

拥有服务合同的客户必须连接他们常规升级渠道获得由此公告指定的免费升级软件。对于大多数拥有服务合同的客户，这意味着升级必须通过CISCO全球WEB站软件中心获得：

http://www.cisco.com/tacpage/sw-center

要访问此下载URL，你必须是注册用户和必须登录后才能使用。

事先或目前与第三方支持组织，如Cisco合作伙伴、授权零售商或服务商之间已有协议，由第三方组织提供Cisco产品或技术支持的用户可免费获得升级支持。

直接从Cisco购买产品但没有Cisco服务合同的用户和由第三方厂商购买产品但无法从销售方获得已修复软件的用户可从Cisco技术支持中心(TAC)获取升级软件。TAC联系方法：

     * +1 800 553 2447 (北美地区免话费)
     * +1 408 526 7209 (全球收费)
     * e-mail: tac@cisco.com
    
查看 http://www.cisco.com/warp/public/687/Directory/DirTAC.shtml 获取额外的TAC联系信息，包括特别局部的电话号码，各种语言的指南和EMAIL地址。

浏览次数：3067
严重程度：0（网友投票）