思科修补 VPN 产品中的高严重性漏洞

思科发布了针对 Secure Client 中两个高严重性漏洞的补丁，Secure Client 是一款企业 VPN 应用程序，还包含安全和监控功能。第一个漏洞被追踪为 CVE-2024-20337，影响 Secure Client 的 Linux、macOS 和 Windows 版本，并且可以在不进行身份验证的情况下在回车换行 (CRLF) 注入攻击中被远程利用。由于用户提供的输入未得到充分验证，攻击者在建立 VPN 会话时诱骗用户单击精心设计的链接，从而可以在受害者的浏览器中执行任意脚本或访问敏感信息，例如 SAML 令牌。“然后，攻击者可以使用该令牌以受影响用户的权限建立远程访问 VPN 会话。VPN 头端背后的各个主机和服务仍然需要额外的凭据才能成功访问，”思科在其公告中解释道。根据思科的说法，只有 VPN 头端配置了 SAML 外部浏览器功能的安全客户端实例才容易受到攻击。这家科技巨头通过发布 Secure Client 版本 4.10. ………………………………