-----开始PGP签名邮件------散列：SHA256阿鲁巴产品安全咨询================================咨询ID:Aruba-PSA-2017-003 CVE:CVE-2017-9804，CVE-2017-9793，CVE-2017-9805，CVE-2017-12611发布日期：2017-9-11状态：确认版本：1标题=====Apache Struts多漏洞概述=====Apache Struts集团于2017年9月7日发布了Struts版本2.3.34。此更新中包括四个安全漏洞的修复。Aruba ClearPass使用Apache Struts。本咨询提供了阿鲁巴暴露于这些漏洞的详细信息。-CVE-2017-9804（受影响）--CVE-2017-9793（不受影响）--CVE-2017-9805（不受影响）--CVE-2017-12611（可能受影响）受影响的产品=========================--ClearPass策略管理器（所有版本）未受影响的产品================--ArubaOS--Aruba Instant--Airway--ALE--包括Aruba Central和Meridian在内的所有Aruba云服务--内省详细信息========ClearPass 6.6.5到6.6.7包含Apache Struts版本2.3.32。使用URLValidator（CVE-2017-9804）时可能发生DoS攻击-------------------------------------------ClearPass Policy Manager管理Web界面受此漏洞影响。ClearPass Guest、Insight和Graphite不受影响。此漏洞仅暴露给具有系统读/写访问权限的经过身份验证的管理用户。严重性：低CVSSv3总分：2.7 CVSS向量：CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L使用REST插件时的DoS攻击（CVE-2017-9793）-------------------------------------------------------------ClearPass不使用REST插件。使用REST插件（CVE-2017-9805）时的远程代码执行----------------------------------------------ClearPass不使用REST插件。使用特定Freemarker标记（CVE-2017-12611）时的远程代码执行-------------------------------------------------------------------ClearPass可能会受到此漏洞的影响。在测试和分析中，阿鲁巴无法成功利用该缺陷或确定利用路径。阿鲁巴将在ClearPass 6.6.8中修补此漏洞，并在新信息可用时更新此通知。如下所述限制对管理员Web界面的访问将限制此潜在漏洞的范围。解决方案===========阿鲁巴将在下一个计划维护版本（版本6.6.8）中包括CVE-2017-9804的修复。ClearPass 6.6.8的目标发布日期为2017年9月27日。解决方法===========作为标准最佳实践，阿鲁巴建议ClearPass管理员限制对Policy Manager管理员Web界面的访问。这可以通过导航到管理>>服务器管理器>>服务器配置>> >>网络>>限制访问，仅允许非公共或网络管理网络。修订历史===============================2017年1月至2011年9月修订版/首次发布Aruba SIRT安全程序===========================================================================================有关报告Aruba Networks产品中安全漏洞的完整信息，可通过以下网址获得安全事件方面的协助：//www.nexbus-cng.com/support-services/security-bulletins/ 对于报告*新*阿鲁巴网络安全问题，可将电子邮件发送至Aruba sirt（at）hpe.com。对于敏感信息，我们鼓励使用PGP加密。我们的公钥可在以下网址找到：//www.nexbus-cng.com/support-services/security-bulletins/ （c） 2017年版权归Hewlett-Packard企业公司Aruba所有。本公告可在正文顶部给出的发布日期后自由重新分发，前提是重新分发的副本完整且未经修改，包括所有日期和版本信息-----开始PGP签名------版本：GnuPG v2 IQECBAEBCAAGBGBQJZTUXIAOJEJJ+CcpFhYbZShUH/3G2x86tP6s/06BzXh6xvfT1 9G7IPMRLWWVN7GUXHDCLH7CWGUXEHVKBAMXRUQD+BMAMsaJ+P9sCMo 0AY4JZEXAIY7N0DPFZRVZRT0KCSHLGNO4YFVAEGMXVYTQYTQWEQEZKZGUDVSSW+ZP9YB9YB0YB0YB0LCTQLQL6VQL6VQL6VQL3VYYYYYYYL6VZZYYYYYYL6VZZZYYYYYYYYL0ECa6klXifkqbsuNdb75mXrh6tdkeDHZPRs1h3lDVa5xaGA1M5PUd/lFf8GEgJIIkk dPJdn+G054pLiyn83U0AP63J/jQfG6NMokmr/vUGIFXFExGw+890G6DQXEGLGM==Dax6-----结束PGP签名-----