CVE-2020-3554

Implementacja IKEv1 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.2(5.58), 8.3, 8.4(7.29), 8.5-8.7(1.17), 9.0(4.37), 9.1(6.8), 9.2(4) i 9.3(3) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety UDP ISAKMP.

Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3, 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.6), 9.2 przed 9.2(4), 9.3 przed 9.3(3.5) oraz 9.4 przed 9.4(1.5) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.

Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach 7.2 i 8.2 przed 8.2(5.58), 8.3 i 8.4 przed 8.4(7.29), 8.5 do 8.7 przed 8.7(1.17), 9.0 przed 9.0(4.37), 9.1 przed 9.1(6.4), 9.2 przed 9.2(4), 9.3 przed 9.3(3.1) oraz 9.4 przed 9.4(1.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowaną odpowiedź DNS.

Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 9.0(4.37), 9.1(6.6), 9.2(4), 9.3(3.5) i 9.4(2) jest podatna na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie skonstruowane pakiety DHCPv6.

Podatność w obsłudze SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wyczerpanie zasobów pamięci na urządzeniu, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami dla połączeń przychodzących SSL/TLS. Atakujący może wykorzystać tę podatność, ustanawiając wiele połączeń SSL/TLS z określonymi warunkami, co może doprowadzić do wyczerpania pamięci i zatrzymania przyjmowania nowych połączeń SSL/TLS. Wymagana jest ręczna interwencja w celu odzyskania urządzenia.

Podatność w silniku przetwarzania TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi ruchu TCP. Atakujący może wykorzystać tę podatność, wysyłając określoną sekwencję pakietów z dużą szybkością przez urządzenie, co może tymczasowo zakłócić ruch podczas restartu.

Podatność w funkcji proxy TCP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie nieoczekiwanego restartu urządzenia, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z błędu w inspekcji pakietów TCP, który może powodować, że pakiet TCP ma nieprawidłowy nagłówek warstwy 2 (L2). Atakujący może wykorzystać tę podatność, wysyłając spreparowaną sekwencję pakietów TCP do urządzenia.

Podatność w sterowniku akceleratora kryptograficznego w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do tymczasowej odmowy usługi (DoS). Problem wynika z ograniczonej ilości pamięci DMA i nieprawidłowej obsługi zasobów w warunkach niskiej pamięci. Atakujący może wykorzystać tę podatność, wysyłając ciągły, wysoki ruch złośliwy, co może doprowadzić do wyczerpania pamięci DMA i przeładowania urządzenia.

Podatność w funkcji tworzenia przepływów przychodzących w Cisco Adaptive Security Appliance (ASA) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wzrostu wykorzystania CPU do ponad 100%, co prowadzi do warunków odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi wewnętrznego zamka oprogramowania, który może blokować dostęp innych procesów systemowych do cykli CPU. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień złośliwych pakietów IP, co może doprowadzić do wyczerpania zasobów CPU i opóźnień w ruchu przez urządzenie.