思科发现了一个零日漏洞，影响了其AnyConnect安全移动客户端软件，该软件具有可在线在线获取的概念验证漏洞利用代码。

漏洞跟踪为CVE-2020-3556，可能允许威胁参与者通过受害者的设备运行恶意代码。该漏洞影响跨Windows，Linux和Mac操作系统运行的AnyConnect的所有客户端版本。

但是，据思科内部安全团队称，尚未安全地利用安全漏洞，而且好消息是，运行具有默认配置的AnyConnect版本的设备不会受到威胁。此特定的安全漏洞需要同时启用“自动更新”设置和“启用脚本”设置。默认情况下，启用脚本处于禁用状态。

缓解策略

思科已承诺发布免费软件更新来解决此漏洞，尽管没有提供时间表。当前没有解决该错误的解决方法，但是缓解选项可供用户使用。

“此漏洞的缓解措施是禁用自动更新功能。其他细节可以在Cisco AnyConnect安全移动客户端管理员指南的禁用的AnyConnect自动更新部分中找到”的思科安全顾问解释。“如果无法禁用自动更新功能，则禁用“启用脚本”配置设置将减少攻击面。”

其他优点包括以下事实：AnyConnect的Android和iOS版本不受影响，并且任何攻击都需要进行活动的AnyConnect会话，从而限制了攻击机会。

目前，AnyConnect漏洞并不是影响思科产品的唯一安全问题。还正在调查影响身份服务，电子邮件和Webex的许多其他错误。