思科和 VMware 已发布安全更新，以解决其产品中可能被恶意行为者利用在受影响系统上执行任意代码的严重安全漏洞。
最严重的漏洞是Cisco Industrial Network Director 中的命令注入漏洞（CVE-2023-20036，CVSS 评分：9.9），它存在于 Web UI 组件中，是由于上传设备包时输入验证不当造成的.
思科在 2023 年 4 月 19 日发布的公告中表示：“成功的利用可能允许攻击者以 NT AUTHORITY\SYSTEM 身份在受影响设备的底层操作系统上执行任意命令。”
网络设备专业还解决了同一产品中的中等严重文件权限漏洞（CVE-2023-20039，CVSS 分数：5.5），经过身份验证的本地攻击者可能会滥用该漏洞查看敏感信息。
补丁已在版本 1.11.3中提供，思科将报告这两个问题的未具名“外部”研究人员归功于此。
思科还修复了Modeling Labs网络仿真平台的外部身份验证机制中的另一个关键缺陷。该漏洞编号为 CVE-2023-20154（CVSS 评分：9.1），可能允许未经身份验证的远程攻击者以管理权限访问 Web 界面。
“要利用此漏洞，攻击者需要存储在相关外部身份验证服务器上的有效用户凭据，”该公司指出。
“如果 LDAP 服务器配置为使用非空匹配条目数组（包含搜索结果引用条目的回复）来回复搜索查询，则可以利用此身份验证绕过漏洞。”
虽然有解决安全漏洞的变通办法，但思科提醒客户在管理这些补救措施之前，先在他们自己的环境中测试此类补救措施的有效性。该缺点已随着2.5.1 版的发布而得到修补。
VMware 发布了 Aria Operations for Logs 的更新#
VMware 在 2023 年 4 月 20 日发布的公告中警告说，一个严重的反序列化缺陷会影响多个版本的 Aria Operations for Logs（CVE-2023-20864，CVSS 评分：9.8）。
“具有 VMware Aria Operations for Logs 网络访问权限的未经身份验证的恶意行为者可能能够以 root 身份执行任意代码，”这家虚拟化服务提供商表示。
VMware Aria Operations for Logs 8.12 修复了此漏洞以及一个高严重性命令注入缺陷（CVE-2023-20865，CVSS 分数：7.2），该缺陷可能允许具有管理员权限的攻击者以 root 身份运行任意命令。
“CVE-2023-20864 是一个关键问题，应立即修补，”该公司表示。“需要强调的是，只有 8.10.2 版本受此漏洞影响。”
在 VMware 在同一产品中插入两个可能导致远程代码执行的严重问题（ CVE-2022-31704 和 CVE-2022-31706 ，CVSS 分数：9.8）后将近三个月，发出警报。
随着 Cisco 和 VMware 设备成为威胁参与者有利可图的目标，建议用户迅速采取行动应用更新以减轻潜在威胁。
