CVE:CVE-2020-3117
CNNVD:CNNVD-202002-296
Cisco Content Security Management Appliance（SMA）和Cisco Web Security Appliance（WSA）都是美国思科（Cisco）公司的产品。Cisco Content Security Management Appliance是一套内容安全管理设备。该设备主要用于管理电子邮件和Web安全设备的所有策略、报告、审计信息等。Cisco Web Security Appliance是一款Web安全设备。该设备提供基于SaaS的访问控制、实时网络报告和追踪、制定安全策略等功能。AsyncOS Software是运行在其中的一套操作系统。
Cisco WSA和Content SMA中的AsyncOS的API框架中存在注入漏洞，该漏洞源于程序没有充分验证用户输入。远程攻击者可通过诱使用户访问特制的URL利用该漏洞向发往用户浏览器中的有效HTTP响应中注入任意HTTP头。
solution:Upgrade cisco content_security_management_appliance to a higher version than 13.0.0-187,and avoid the version (,13.0.0-187); Upgrade cisco web_security_appliance to a higher version than 11.8.0-382,12.0.1-268,and avoid the version 11.8.0-382,12.0.1-268