Cisco Secure Desktop Web Install ActiveX控件任意文件下载漏洞

CNNVD-ID编号	CNNVD-201004-284
CVE编号	CVE-2010-0589
发布时间	2010-04-15
更新时间	2011-07-12
漏洞类型	输入验证
漏洞来源	Anonymous researcher working with TippingPoint's Zero Day Initiative.
危险等级	超危
威胁类型	远程
厂商	cisco

漏洞介绍

Cisco Secure Desktop（CSD）是美国思科（Cisco）公司的一款安全桌面产品，它可通过加密功能降低远程用户注销后或SSL VPN会话超时后Cookies、浏览器历史记录、临时文件和下载内容在系统上所遗留的风险。

Cisco Secure Desktop (CSD) 3.5.841之前版本中的Web Install ActiveX控件(CSDWebInstaller)不能正确验证已下载程序的签名。远程攻击者可借助特制web页面强制任意文件的下载和执行。

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.cisco.com/en/US/products/ps6742/tsd_products_support_series_home.html

http://www.cisco.com/en/US/products/products_security_advisory09186a0080b25d01.shtml

http://support.microsoft.com/kb/240797