RSA身份验证代理高危漏洞曝光：允许攻击者绕过身份验证系统访问受保护资源

近日RSA身份验证代理被曝光了两个高危级别的安全漏洞，这两个漏洞能够允许攻击者绕过身份验证系统，直接访问受保护的珍贵资源。

RSA身份验证代理是一个在线社区，有助于客户以及他们的合作伙伴之间的信息共享和讨论。它是一个一站式的所有RSA业务驱动的安全问题解决商。此次曝光的两个高危漏洞如果用户不及时打上安全补丁将会造成严重后果。两个高危漏洞的编号分别为CVE-2017-14377和CVE-2017-14378。

CVE-2017-14377漏洞造成的影响是用于Apache Web服务器的RSA身份验证代理如果设置成TCP模式，攻击者就能够通过特制的数据包触发验证错误逻辑，以此达到绕过身份验证，获取被保护资源的访问权的目的。不过RSA身份验证代理因为是在默认UDP模式下，所以不受此漏洞影响。

CVE-2017-14378造成的影响则是如果用于C版本8.5级8.6的RSA身份验证代理API/SDK处于TCP模式时，假使对error的处理不当，则会导致返回代码不能被应用及时妥当处理，从而导致身份验证系统被攻击者绕过，达到访问受保护资源的目的。

目前有效的应对措施是建议所有受影响用户尽快将RSA Authentication Agent升级至最新版本，同时注意要符合RSA Authentication Agent官网上提出的API for C开发人员指南中的编码准则。RSA身份验证代理的安全补丁可登陆官网进行下载。

受影响产品及版本：

RSA® Authentication Agent for Web: Apache Web Server version 8.0

RSA® Authentication Agent for Web: Apache Web Server version 8.0.1 prior to Build 618

RSA® Authentication Agent API 8.5 for C

RSA® Authentication Agent SDK 8.6 for C