近日，国家信息安全漏洞库（CNNVD）收到关于多个EMC RSA Authentication Agent漏洞（CNNVD-201709-454、CNNVD-201709-455）情况的报送。未经身份验证的远程攻击者可利用漏洞绕过身份验证，对受影响主机进行未授权访问。RSA Authentication Agent for Web for Apache Web Server 8.0版本和8.0.1版本、RSA Authentication Agent SDK for C 8.6版本和API for C 8.5版本均受影响。目前EMC官方已修复上述漏洞，并发布了最新版本，建议受漏洞影响的用户及时安装相应软件的最新版本以避免受漏洞影响。

一、漏洞介绍

EMC RSA Authentication Agent是美国易安信（EMC）公司的一套远程访问请求验证软件。该软件用于拦截远程访问和本地用户或用户组的请求，将其引导至RSA认证管理服务器进行身份验证。EMC RSA Authentication Agent for Web for Apache Web Server是其中的一套用于Apache Web服务器的远程访问请求验证软件。EMC RSA Authentication Agent SDK for C是其中的一个基于C语言的软件开发工具包。EMC RSA Authentication Agent API for C是其中的一个基于C语言的API。

RSA Authentication Agent for Web for Apache Web Server 8.0版本和8.0.1版本中存在安全漏洞（CNNVD-201709-455、CVE-2017-14377）。远程攻击者可利用该漏洞绕过身份验证。

RSA Authentication Agent SDK for C 8.6版本和API for C 8.5版本中存在安全漏洞（CNNVD-201709-454， CVE-2017-14378）。远程攻击者可利用该漏洞绕过身份验证。

二、危害影响

未经身份验证的远程攻击者可利用漏洞绕过身份验证，对受影响主机进行未授权访问。RSA Authentication Agent for Web for Apache Web Server 8.0版本和8.0.1版本、RSA Authentication Agent SDK for C 8.6版本和API for C 8.5版本均受影响。

三、修复建议

目前EMC官方已修复上述漏洞，并发布了最新版本，建议受漏洞影响的用户及时安装相应软件的最新版本以避免受漏洞影响。

针对EMC RSA Authentication Agent for Web for Apache Web Server，更新至8.0.1 618版本，链接如下：

https://community.rsa.com/docs/DOC-85006

针对RSA Authentication Agent SDK for C，更新至8.6.1版本，针对RSA Authentication Agent API for C，更新至8.5.1版本，链接如下：

https://community.rsa.com/docs/DOC-40601#agents

本通报由CNNVD技术支撑单位——杭州安恒信息技术有限公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。

联系方式: cnnvd@itsec.gov.cn