CVE-2018-0228
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Podatność w funkcji tworzenia przepływów przychodzących w Cisco Adaptive Security Appliance (ASA) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wzrostu wykorzystania CPU do ponad 100%, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi wewnętrznego zamka oprogramowania, który może blokować dostęp innych procesów systemowych do cykli CPU. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień złośliwych pakietów IP, co może doprowadzić do wyczerpania zasobów CPU i opóźnień w ruchu przez urządzenie.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS, który może zakłócić działanie urządzeń ASA i FTD, powodując opóźnienia lub przerwy w ruchu sieciowym, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez Cisco oraz monitorowanie wykorzystania CPU na urządzeniach ASA/FTD w celu wykrycia anomalii.
Inne podatności w Cisco Adaptive Security Appliance (ASA)
Zobacz wszystkie- CVE-2015-6327Wysokie
Implementacja IKEv1 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.2(5.58), 8.3, 8.4(7.29), 8.5-8.7(1.17), 9.0(4.37), 9.1(6.8), 9.2(4) i 9.3(3) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety UDP ISAKMP.
- CVE-2015-6326Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3, 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.6), 9.2 przed 9.2(4), 9.3 przed 9.3(3.5) oraz 9.4 przed 9.4(1.5) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6325Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3 i 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.4), 9.2 przed 9.2(4), 9.3 przed 9.3(3.1) oraz 9.4 przed 9.4(1.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6324Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 9.0(4.37), 9.1(6.6), 9.2(4), 9.3(3.5) i 9.4(2) jest podatna na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie skonstruowane pakiety DHCPv6.
- CVE-2020-3554Wysokie
Podatność w przetwarzaniu pakietów TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie warunków odmowy usługi (DoS) na urządzeniu. Problem wynika z wyczerpania pamięci. Atakujący może wykorzystać tę podatność, wysyłając dużą ilość spreparowanego ruchu TCP przez urządzenie, co może doprowadzić do wyczerpania zasobów i DoS dla ruchu przechodzącego przez urządzenie.
- CVE-2020-3196Wysokie
Podatność w obsłudze SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wyczerpanie zasobów pamięci na urządzeniu, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami dla połączeń przychodzących SSL/TLS. Atakujący może wykorzystać tę podatność, ustanawiając wiele połączeń SSL/TLS z określonymi warunkami, co może doprowadzić do wyczerpania pamięci i zatrzymania przyjmowania nowych połączeń SSL/TLS. Wymagana jest ręczna interwencja w celu odzyskania urządzenia.
- CVE-2019-1694Wysokie
Podatność w silniku przetwarzania TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi ruchu TCP. Atakujący może wykorzystać tę podatność, wysyłając określoną sekwencję pakietów z dużą szybkością przez urządzenie, co może tymczasowo zakłócić ruch podczas restartu.
- CVE-2019-1687Wysokie
Podatność w funkcji proxy TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie nieoczekiwanego restartu urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z błędu w inspekcji pakietów TCP, który może powodować, że pakiet TCP ma nieprawidłowy nagłówek warstwy 2 (L2). Atakujący może wykorzystać tę podatność, wysyłając spreparowaną sekwencję pakietów TCP do urządzenia.
- CVE-2018-15383Wysokie
Podatność w sterowniku akceleratora kryptograficznego w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do tymczasowej odmowy usługi (DoS). Problem wynika z ograniczonej ilości pamięci DMA i nieprawidłowej obsługi zasobów w warunkach niskiej pamięci. Atakujący może wykorzystać tę podatność, wysyłając ciągły, wysoki ruch złośliwy, co może doprowadzić do wyczerpania pamięci DMA i przeładowania urządzenia.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the ingress flow creation functionality of Cisco Adaptive Security Appliance (ASA) could allow an unauthenticated, remote attacker to cause the CPU to increase upwards of 100% utilization, causing a denial of service (DoS) condition on an affected system. The vulnerability is due to incorrect handling of an internal software lock that could prevent other system processes from getting CPU cycles, causing a high CPU condition. An attacker could exploit this vulnerability by sending a steady stream of malicious IP packets that can cause connections to be created on the targeted device. A successful exploit could allow the attacker to exhaust CPU resources, resulting in a DoS condition during which traffic through the device could be delayed. This vulnerability applies to either IPv4 or IPv6 ingress traffic. This vulnerability affects Cisco Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) Software that is running on the following Cisco products: 3000 Series Industrial Security Appliances (ISA), ASA 5500 Series Adaptive Security Appliances, ASA 5500-X Series Next-Generation Firewalls, ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers, Adaptive Security Virtual Appliances (ASAv), Firepower 2100 Series Security Appliances, Firepower 4110 Security Appliances, Firepower 9300 ASA Security Modules. Cisco Bug IDs: CSCvf63718.