CVE-2020-3191

Podatność w funkcji zdalnego dostępu SSL VPN w oprogramowaniu Cisco ASA i FTD pozwala uwierzytelnionemu zdalnemu atakującemu na obejście skonfigurowanej polityki uwierzytelniania wielokrotnych certyfikatów i połączenie się tylko przy użyciu poprawnej nazwy użytkownika i hasła. Problem wynika z nieprawidłowej obsługi błędów podczas uwierzytelniania VPN. Atakujący może wysyłać spreparowane żądania podczas nawiązywania sesji VPN, co pozwala na obejście polityki certyfikatów przy zachowaniu uprawnień i przywilejów.

Podatność w implementacji Internet Key Exchange Version 2 (IKEv2) w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu, zdalnemu atakującemu wywołanie warunku odmowy usługi (DoS). Wynika to z nieprawidłowej kontroli zasobów. Atakujący, który może podszyć się pod zaufanego peera VPN site-to-site IKEv2 i posiada ważne poświadczenia, może wysyłać złośliwe, uwierzytelnione wiadomości IKEv2, powodując przeładowanie urządzenia.

Podatność w funkcji kontroli dostępu SNMPv3 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu zapytanie o dane SNMP. Wynika to z nieskutecznej kontroli dostępu. Atakujący może wysłać zapytanie SNMPv3 z hosta, który nie jest dozwolony przez listę kontroli dostępu, i uzyskać informacje z urządzenia, jeśli posiada ważne poświadczenia.

Podatność w funkcji przetwarzania reguł zapory tożsamościowej (IDFW) w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń. Wynika to z nieprawidłowego obsługiwania żądań sieciowych przez urządzenia skonfigurowane z użyciem wyszukiwania grup obiektów. Atakujący może wysłać specjalnie spreparowane żądanie sieciowe, aby ominąć reguły listy kontroli dostępu (ACL) i wysyłać ruch do nieautoryzowanych hostów.

Podatność w obsłudze TLS w oprogramowaniu Cisco ASA i FTD dla firewalli serii Firepower 1000 może umożliwić nieuwierzytelnionemu zdalnemu atakującemu uzyskanie dostępu do wrażliwych informacji. Problem wynika z niewłaściwego wdrożenia środków przeciwko atakowi Bleichenbachera dla zestawów szyfrów opartych na RSA. Atakujący może wysyłać spreparowane wiadomości TLS, co pozwala na atak typu chosen-ciphertext i potencjalne odszyfrowanie wcześniej przechwyconych sesji TLS.

Podatność w interfejsie usług webowych oprogramowania Cisco ASA i FTD może umożliwić nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej reguły dostępu i dostęp do części portalu WebVPN, które powinny być zablokowane. Problem wynika z niewystarczającej walidacji URL-i, gdy skonfigurowane są reguły dostępu do portalu. Atakujący może wykorzystać tę podatność, uzyskując dostęp do określonych URL-i na urządzeniu.

Podatność w silniku inspekcji FTP w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie inspekcji FTP. Problem wynika z nieskutecznego śledzenia przepływu ruchu FTP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany ruch FTP przez urządzenie, co pozwala na ominięcie inspekcji i nawiązanie połączeń FTP.

Podatność w Clientless SSL VPN (WebVPN) w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wstrzyknięcie dowolnych nagłówków HTTP w odpowiedzi systemu. Problem wynika z niewłaściwej sanityzacji danych wejściowych. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia spreparowanego linku, co pozwala na atak CRLF i przekierowanie użytkownika na dowolne strony.

Podatność w procesie negocjacji SSL VPN w oprogramowaniu Cisco ASA i FTD może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieefektywnego zarządzania pamięcią DMA podczas negocjacji połączenia SSL VPN.

Podatność w implementacji obsługi fragmentów IP w oprogramowaniu Cisco ASA i FTD może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spowodowanie wycieku pamięci na urządzeniu. Wyciek pamięci może zablokować przetwarzanie ruchu, prowadząc do odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi błędów podczas składania fragmentów IP.