Aktywnie wykorzystywana w atakach
Cisco ASA and FTD Information Disclosure Vulnerability
Cisco - Adaptive Security Appliance (ASA) and Firepower Threat Defense (FTD) · Figuruje w katalogu CISA KEV od 2024-02-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2020-3259
WysokieCVSS 7.5KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie usług webowych Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt zawartości pamięci urządzenia, co może prowadzić do ujawnienia poufnych informacji. Problem wynika z problemu ze śledzeniem bufora podczas parsowania nieprawidłowych URL. Udany atak może pozwolić na odczyt pamięci, co może ujawnić poufne dane.
Ocena ryzyka
Ryzyko ujawnienia poufnych informacji przechowywanych w pamięci urządzenia, co może obejmować dane uwierzytelniające lub inne wrażliwe dane.
Rekomendacja
Zastosuj poprawki Cisco oraz ogranicz dostęp do interfejsu usług webowych, szczególnie w konfiguracjach AnyConnect i WebVPN.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to retrieve memory contents on an affected device, which could lead to the disclosure of confidential information. The vulnerability is due to a buffer tracking issue when the software parses invalid URLs that are requested from the web services interface. An attacker could exploit this vulnerability by sending a crafted GET request to the web services interface. A successful exploit could allow the attacker to retrieve memory contents, which could lead to the disclosure of confidential information. Note: This vulnerability affects only specific AnyConnect and WebVPN configurations. For more information, see the Vulnerable Products section.