今天刚刚发现在许多使用CMP允许远程命令执行的集群管理协议的Cisco 交换机中有一个 0-day 漏洞。
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170317-cmp
根据上面的链接，当我运行此命令来检查 CMP 是否正在运行时，它似乎未在我的交换机上启用，这是否意味着我们是安全的？
SW1#show subsys class protocol | include ^cmp
SW1#
根据思科咨询：
当满足以下条件时，运行易受攻击的 Cisco IOS XE 版本的 Cisco 设备会受到此漏洞的影响：
CMP 子系统存在于设备上运行的 Cisco IOS XE 软件映像中，
和
设备配置为接受传入的 Telnet 连接。
为了确定 CMP 子系统是否存在于正在运行的软件映像上，请执行命令 show subsys class protocol | 从设备上的特权 CLI 提示符包含 ^cmp。
以下示例显示命令show subsys class protocol |的输出。当 CMP 子系统出现在设备上运行的软件映像上时，包括 ^cmp：
Switch#show subsys class protocol | include ^cmp cmp
Protocol 1.000.001 Switch#
以下示例显示命令show subsys class protocol |的输出。当设备上运行的软件映像上不存在 CMP 子系统时，包括 ^cmp：
Switch#show subsys class protocol | include ^cmp
Switch#
为了确定设备是否配置为接受传入 Telnet 连接，请执行命令 show running-config | 包括来自特权 CLI 提示符的 ^line vty|transport 输入。命令输出可能指示多种可能的配置之一，例如： 线路 vty 配置行之后没有传输输入配置行表示设备正在使用默认协议集通过虚拟终端 (VTY) 进行传入连接. 默认的协议集包括 Telnet 协议；因此，该设备将接受所有 VTY 上的 Telnet 连接。这是一个易受攻击的配置。