CVE-2019-15256
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
Podatność w funkcji IKEv1 w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wywołanie przeładowania urządzenia, co prowadzi do DoS. Wynika to z nieprawidłowego zarządzania pamięcią systemową. Atakujący może wysyłać złośliwy ruch IKEv1 bez ważnych poświadczeń, co prowadzi do wyczerpania zasobów pamięci i przeładowania urządzenia.
Ocena ryzyka
Ryzyko polega na możliwości przerwania działania urządzenia (DoS), co może zakłócić dostęp do sieci i usług.
Rekomendacja
Zaleca się aktualizację oprogramowania Cisco ASA i FTD do wersji zawierającej poprawkę oraz ograniczenie dostępu do urządzeń z zaufanych źródeł.
Inne podatności w Cisco Adaptive Security Appliance
Zobacz wszystkie- CVE-2024-20485Średnie
Podatność w serwerze VPN Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu lokalnemu atakującemu z uprawnieniami administratora wykonanie dowolnego kodu z uprawnieniami roota. Wynika to z nieprawidłowej walidacji pliku podczas odczytu z pamięci flash.
- CVE-2023-20006Wysokie
Podatność w sprzętowej funkcji kryptograficznej SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla urządzeń serii Firepower 2100 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z błędu implementacji w funkcjach kryptograficznych przetwarzania ruchu SSL/TLS, gdy są one odciążane do sprzętu. Atak polega na wysłaniu spreparowanego strumienia ruchu SSL/TLS do urządzenia.
- CVE-2023-20107Wysokie
Podatność w generatorze liczb losowych (DRBG/PRNG) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla zapór ASA 5506-X, ASA 5508-X i ASA 5516-X pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie kolizji kryptograficznej, umożliwiającej odkrycie klucza prywatnego urządzenia. Wynika to z niewystarczającej entropii w DRBG na tych platformach sprzętowych podczas generowania kluczy kryptograficznych. Atak polega na wygenerowaniu dużej liczby kluczy i szukaniu kolizji z urządzeniami docelowymi.
- CVE-2022-20947Wysokie
Podatność w funkcji dynamicznych polityk dostępu (DAP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z nieprawidłowego przetwarzania danych HostScan otrzymywanych z modułu Posture (HostScan). Atak polega na wysłaniu spreparowanych danych HostScan do urządzenia.
- CVE-2022-20924Wysokie
Podatność w funkcji Simple Network Management Protocol (SNMP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi (DoS) na urządzeniu. Wynika to z niewystarczającej walidacji danych wejściowych. Atak polega na wysłaniu spreparowanego żądania SNMP, co może doprowadzić do przeładowania urządzenia.
- CVE-2022-20715Wysokie
Podatność w funkcjach SSL VPN zdalnego dostępu w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowej walidacji błędów logowanych podczas połączeń klientów VPN. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądania, co może spowodować restart urządzenia i DoS.
- CVE-2021-1422Wysokie
Podatność w module kryptograficznym oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu lub nieuwierzytelnionemu atakującemu w pozycji man-in-the-middle wywołać nieoczekiwane przeładowanie urządzenia, co skutkuje odmową usługi (DoS). Wynika to z błędu logicznego w obsłudze niektórych błędów deszyfrowania. Atakujący może wykorzystać tę podatność, wysyłając złośliwe pakiety przez ustanowione połączenie IPsec, co może spowodować awarię i przeładowanie urządzenia. Ważne: wykorzystanie nie narusza poufności zaszyfrowanych danych. Podatność dotyczy tylko wersji ASA 9.16.1 i FTD 7.0.0.
- CVE-2021-1493Wysokie
Podatność w interfejsie usług webowych oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu wywołać przepełnienie bufora na urządzeniu. Wynika to z niewystarczających kontroli granicznych dla danych przekazywanych do interfejsu. Atakujący może wykorzystać tę podatność, wysyłając złośliwe żądanie HTTP, co może doprowadzić do ujawnienia fragmentów danych lub przeładowania urządzenia i DoS.
- CVE-2020-3436Wysokie
Podatność w interfejsie usług webowych Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przesyłanie plików o dowolnym rozmiarze do określonych folderów na urządzeniu, co może prowadzić do nieoczekiwanego przeładowania urządzenia. Wynika to z nieefektywnego obsługiwania zapisu dużych plików. Atakujący może przesyłać pliki do tych folderów, co wywołuje limit czasu watchdoga i przeładowanie urządzenia, powodując DoS.
- CVE-2020-3306Wysokie
Podatność w module DHCP oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS) na urządzeniu. Wynika to z nieprawidłowego przetwarzania niektórych pakietów DHCP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet DHCP, co może spowodować DoS.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the Internet Key Exchange version 1 (IKEv1) feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to trigger a reload of an affected device, resulting in a denial of service (DoS) condition. The vulnerability is due to improper management of system memory. An attacker could exploit this vulnerability by sending malicious IKEv1 traffic to an affected device. The attacker does not need valid credentials to authenticate the VPN session, nor does the attacker's source address need to match a peer statement in the crypto map applied to the ingress interface of the affected device. An exploit could allow the attacker to exhaust system memory resources, leading to a reload of an affected device.