CVE-2019-1687
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
Podatność w funkcji proxy TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie nieoczekiwanego restartu urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z błędu w inspekcji pakietów TCP, który może powodować, że pakiet TCP ma nieprawidłowy nagłówek warstwy 2 (L2). Atakujący może wykorzystać tę podatność, wysyłając spreparowaną sekwencję pakietów TCP do urządzenia.
Ocena ryzyka
Ryzyko polega na możliwości spowodowania restartu urządzenia, co prowadzi do przerw w działaniu usług i ruchu sieciowego.
Rekomendacja
Zaleca się aktualizację oprogramowania ASA/FTD do wersji zawierającej poprawkę oraz ograniczenie dostępu do urządzeń z zaufanych źródeł.
Inne podatności w Cisco Adaptive Security Appliance (ASA)
Zobacz wszystkie- CVE-2015-6327Wysokie
Implementacja IKEv1 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.2(5.58), 8.3, 8.4(7.29), 8.5-8.7(1.17), 9.0(4.37), 9.1(6.8), 9.2(4) i 9.3(3) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety UDP ISAKMP.
- CVE-2015-6326Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3, 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.6), 9.2 przed 9.2(4), 9.3 przed 9.3(3.5) oraz 9.4 przed 9.4(1.5) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6325Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3 i 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.4), 9.2 przed 9.2(4), 9.3 przed 9.3(3.1) oraz 9.4 przed 9.4(1.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6324Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 9.0(4.37), 9.1(6.6), 9.2(4), 9.3(3.5) i 9.4(2) jest podatna na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie skonstruowane pakiety DHCPv6.
- CVE-2020-3554Wysokie
Podatność w przetwarzaniu pakietów TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie warunków odmowy usługi (DoS) na urządzeniu. Problem wynika z wyczerpania pamięci. Atakujący może wykorzystać tę podatność, wysyłając dużą ilość spreparowanego ruchu TCP przez urządzenie, co może doprowadzić do wyczerpania zasobów i DoS dla ruchu przechodzącego przez urządzenie.
- CVE-2020-3196Wysokie
Podatność w obsłudze SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wyczerpanie zasobów pamięci na urządzeniu, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami dla połączeń przychodzących SSL/TLS. Atakujący może wykorzystać tę podatność, ustanawiając wiele połączeń SSL/TLS z określonymi warunkami, co może doprowadzić do wyczerpania pamięci i zatrzymania przyjmowania nowych połączeń SSL/TLS. Wymagana jest ręczna interwencja w celu odzyskania urządzenia.
- CVE-2019-1694Wysokie
Podatność w silniku przetwarzania TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi ruchu TCP. Atakujący może wykorzystać tę podatność, wysyłając określoną sekwencję pakietów z dużą szybkością przez urządzenie, co może tymczasowo zakłócić ruch podczas restartu.
- CVE-2018-15383Wysokie
Podatność w sterowniku akceleratora kryptograficznego w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do tymczasowej odmowy usługi (DoS). Problem wynika z ograniczonej ilości pamięci DMA i nieprawidłowej obsługi zasobów w warunkach niskiej pamięci. Atakujący może wykorzystać tę podatność, wysyłając ciągły, wysoki ruch złośliwy, co może doprowadzić do wyczerpania pamięci DMA i przeładowania urządzenia.
- CVE-2018-0228Wysokie
Podatność w funkcji tworzenia przepływów przychodzących w Cisco Adaptive Security Appliance (ASA) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wzrostu wykorzystania CPU do ponad 100%, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi wewnętrznego zamka oprogramowania, który może blokować dostęp innych procesów systemowych do cykli CPU. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień złośliwych pakietów IP, co może doprowadzić do wyczerpania zasobów CPU i opóźnień w ruchu przez urządzenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the TCP proxy functionality for Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to restart unexpectedly, resulting in a denial of service (DoS) condition. The vulnerability is due to an error in TCP-based packet inspection, which could cause the TCP packet to have an invalid Layer 2 (L2)-formatted header. An attacker could exploit this vulnerability by sending a crafted TCP packet sequence to the targeted device. A successful exploit could allow the attacker to cause a DoS condition.