CVE-2019-1694
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
Podatność w silniku przetwarzania TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi ruchu TCP. Atakujący może wykorzystać tę podatność, wysyłając określoną sekwencję pakietów z dużą szybkością przez urządzenie, co może tymczasowo zakłócić ruch podczas restartu.
Ocena ryzyka
Ryzyko polega na możliwości tymczasowego zakłócenia ruchu sieciowego podczas restartu urządzenia, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się zastosowanie poprawek Cisco oraz ograniczenie szybkości ruchu TCP do urządzeń ASA/FTD.
Inne podatności w Cisco Adaptive Security Appliance (ASA)
Zobacz wszystkie- CVE-2015-6327Wysokie
Implementacja IKEv1 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.2(5.58), 8.3, 8.4(7.29), 8.5-8.7(1.17), 9.0(4.37), 9.1(6.8), 9.2(4) i 9.3(3) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety UDP ISAKMP.
- CVE-2015-6326Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3, 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.6), 9.2 przed 9.2(4), 9.3 przed 9.3(3.5) oraz 9.4 przed 9.4(1.5) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6325Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3 i 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.4), 9.2 przed 9.2(4), 9.3 przed 9.3(3.1) oraz 9.4 przed 9.4(1.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.
- CVE-2015-6324Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 9.0(4.37), 9.1(6.6), 9.2(4), 9.3(3.5) i 9.4(2) jest podatna na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie skonstruowane pakiety DHCPv6.
- CVE-2020-3554Wysokie
Podatność w przetwarzaniu pakietów TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie warunków odmowy usługi (DoS) na urządzeniu. Problem wynika z wyczerpania pamięci. Atakujący może wykorzystać tę podatność, wysyłając dużą ilość spreparowanego ruchu TCP przez urządzenie, co może doprowadzić do wyczerpania zasobów i DoS dla ruchu przechodzącego przez urządzenie.
- CVE-2020-3196Wysokie
Podatność w obsłudze SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wyczerpanie zasobów pamięci na urządzeniu, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami dla połączeń przychodzących SSL/TLS. Atakujący może wykorzystać tę podatność, ustanawiając wiele połączeń SSL/TLS z określonymi warunkami, co może doprowadzić do wyczerpania pamięci i zatrzymania przyjmowania nowych połączeń SSL/TLS. Wymagana jest ręczna interwencja w celu odzyskania urządzenia.
- CVE-2019-1687Wysokie
Podatność w funkcji proxy TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie nieoczekiwanego restartu urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z błędu w inspekcji pakietów TCP, który może powodować, że pakiet TCP ma nieprawidłowy nagłówek warstwy 2 (L2). Atakujący może wykorzystać tę podatność, wysyłając spreparowaną sekwencję pakietów TCP do urządzenia.
- CVE-2018-15383Wysokie
Podatność w sterowniku akceleratora kryptograficznego w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do tymczasowej odmowy usługi (DoS). Problem wynika z ograniczonej ilości pamięci DMA i nieprawidłowej obsługi zasobów w warunkach niskiej pamięci. Atakujący może wykorzystać tę podatność, wysyłając ciągły, wysoki ruch złośliwy, co może doprowadzić do wyczerpania pamięci DMA i przeładowania urządzenia.
- CVE-2018-0228Wysokie
Podatność w funkcji tworzenia przepływów przychodzących w Cisco Adaptive Security Appliance (ASA) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wzrostu wykorzystania CPU do ponad 100%, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi wewnętrznego zamka oprogramowania, który może blokować dostęp innych procesów systemowych do cykli CPU. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień złośliwych pakietów IP, co może doprowadzić do wyczerpania zasobów CPU i opóźnień w ruchu przez urządzenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the TCP processing engine of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause an affected device to reload, resulting in a denial of service (DoS) condition. The vulnerability is due to the improper handling of TCP traffic. An attacker could exploit this vulnerability by sending a specific sequence of packets at a high rate through an affected device. A successful exploit could allow the attacker to temporarily disrupt traffic through the device while it reboots.