一、 基本情况

Cisco Smart Software Manager On Prem（SSM On Prem）是一种智能许可解决方案，使客户能够在其场所管理产品和许可证。Cisco Secure Email Gateway（SEG）是思科公司推出的一种电子邮件安全解决方案，旨在保护企业免受垃圾邮件、恶意软件、网络钓鱼和其他基于电子邮件的威胁的侵害。

二、 漏洞描述

Cisco发布安全公告，修复了SSM On Prem和SEG中的密码更改漏洞和任意文件写入漏洞，详情如下：

CVE-2024-20419：Cisco SSM On-Prem密码更改漏洞（严重）

由于密码更改流程实施不当，Cisco Smart Software Manager On-Prem身份验证系统中存在漏洞，未经身份验证的远程威胁者可通过向受影响的设备发送恶意设计的 HTTP 请求来利用该漏洞，从而更改任意用户的密码并可能导致以该用户权限访问Web UI 或 API，该漏洞的CVSS评分为10.0。

CVE-2024-20401：Cisco Secure Email Gateway任意文件写入漏洞（严重）

由于在启用文件分析和内容过滤器时对电子邮件附件的处理不当，Cisco Secure Email Gateway的内容扫描和消息过滤功能中存在漏洞，未经身份验证的远程威胁者可以通过向受影响的设备发送包含恶意附件的电子邮件来利用该漏洞，成功利用可能导致覆盖底层系统上的任意文件，并可能执行创建具有root权限的用户、修改设备配置、执行任意代码或导致拒绝服务等未授权操作，该漏洞的CVSS评分为9.8。

三、 影响范围

CVE-2024-20419

Cisco SSM On-Prem / Cisco SSM Satellite 版本<= 8-202206

注：Cisco SSM On-Prem 和 Cisco SSM Satellite 是同一款产品。在 7.0 版之前的版本中，该产品被称为 Cisco SSM Satellite，从 7.0 版开始，该产品被称为 Cisco SSM On-Prem。

CVE-2024-20401

如果Cisco Secure Email Gateway运行的是存在漏洞的 Cisco AsyncOS 版本，且满足以下两个条件，则易受该漏洞影响：

● 启用文件分析功能（思科高级恶意软件防护AMP的一部分）或内容过滤功能，并将其分配给传入邮件策略。

● Content Scanner Tools版本< 23.3.0.4823。

四、 修复建议

目前这些漏洞已经修复，受影响用户可升级到以下版本：

Cisco SSM On-Prem >= 8-202212

Cisco AsyncOS for Cisco Secure Email Software >= 15.5.1-055

下载链接：

https://www.cisco.com/c/en/us/support/index.html

五、 参考链接

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cssm-auth-sLw3uhUy

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-bGG2UsjH