CVE-2020-3565
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
Podatność w funkcji TCP Intercept w oprogramowaniu Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie skonfigurowanych polityk kontroli dostępu (w tym geolokalizacji) i polityk usług. Wynika to z wywoływania TCP Intercept po osiągnięciu limitu połączeń embrionalnych, co powoduje nieprawidłowe przetwarzanie pakietów przez silnik detekcji. Atakujący może wysłać spreparowany strumień ruchu, aby dopasować się do niewłaściwej polityki, co może skutkować przekazaniem ruchu, który powinien być odrzucony, lub odwrotnie.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia polityk bezpieczeństwa i nieprawidłowego przekazywania lub odrzucania ruchu, co może prowadzić do naruszenia integralności sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania FTD do wersji z poprawką oraz przegląd konfiguracji TCP Intercept i polityk.
Inne podatności w Cisco Firepower Threat Defense
Zobacz wszystkie- CVE-2021-34753Średnie
Podatność w inspekcji ładunku dla ruchu Ethernet Industrial Protocol (ENIP) w oprogramowaniu Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na ominięcie skonfigurowanych reguł dla ruchu ENIP. Problem wynika z niekompletnego przetwarzania podczas głębokiej inspekcji pakietów ENIP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet ENIP do docelowego interfejsu, co może pozwolić na ominięcie polityk dostępu i zapobiegania włamaniom.
- CVE-2024-20351Wysokie
Podatność w funkcji obsługi ruchu TCP/IP w silniku detekcji Snort w oprogramowaniu Cisco Firepower Threat Defense (FTD) i Cisco FirePOWER Services pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie odrzucania legalnego ruchu sieciowego, co prowadzi do odmowy usługi (DoS). Wynika to z nieprawidłowej obsługi ruchu TCP/IP. Atak polega na wysłaniu dużej ilości ruchu TCP/IP przez urządzenie, co może doprowadzić do odrzucania ruchu i wymagać restartu urządzenia.
- CVE-2023-20270Średnie
Podatność w interakcji między preprocesorem protokołu SMB a silnikiem detekcji Snort 3 w oprogramowaniu Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na ominięcie skonfigurowanych polityk lub spowodowanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z nieprawidłowej kontroli błędów podczas przetwarzania ruchu SMB przez silnik Snort 3. Atakujący może wykorzystać tę podatność, wysyłając spreparowany strumień pakietów SMB przez urządzenie, co może spowodować przeładowanie procesu Snort i warunek DoS.
- CVE-2023-20244Wysokie
Podatność w wewnętrznym przetwarzaniu pakietów w oprogramowaniu Cisco Firepower Threat Defense (FTD) dla zapór serii Firepower 2100 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi (DoS) na urządzeniu. Wynika to z nieprawidłowej obsługi niektórych pakietów wysyłanych do silnika inspekcji. Atak polega na wysłaniu serii spreparowanych pakietów, co może doprowadzić do wyczerpania wszystkich bloków 9472 bajtów na urządzeniu, powodując utratę ruchu lub nieoczekiwane przeładowanie.
- CVE-2022-20946Wysokie
Podatność w funkcji dekapsulacji tuneli GRE w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi (DoS) na urządzeniu. Wynika to z błędu obsługi pamięci podczas przetwarzania ruchu GRE. Atak polega na wysłaniu spreparowanego pakietu GRE przez urządzenie, co może doprowadzić do jego restartu.
- CVE-2022-20940Średnie
Podatność w obsłudze TLS w oprogramowaniu Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na uzyskanie dostępu do wrażliwych informacji. Problem wynika z nieprawidłowej implementacji środków przeciwko atakowi Bleichenbachera na urządzeniu korzystającym z polityk deszyfrowania SSL. Atakujący może wykorzystać tę podatność, wysyłając spreparowane wiadomości TLS do urządzenia, które działa jak wyrocznia, umożliwiając atak wybranego szyfrogramu. Udany atak może pozwolić na odszyfrowanie wcześniej przechwyconych sesji TLS.
- CVE-2022-20757Wysokie
Podatność w funkcji obsługi połączeń w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS) na urządzeniu. Wynika to z nieprawidłowej obsługi ruchu po osiągnięciu limitów platformy. Atakujący może wykorzystać tę podatność, wysyłając dużą ilość ruchu UDP, co może spowodować odrzucanie wszystkich nowych połączeń przychodzących i DoS.
- CVE-2022-20748Średnie
Podatność w lokalnym procesie analizy złośliwego oprogramowania w oprogramowaniu Cisco Firepower Threat Defense (FTD) może umożliwić nieuwierzytelnionemu zdalnemu atakującemu wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej obsługi błędów w procesie analizy. Atakujący może wysłać spreparowany plik przez urządzenie, co powoduje awarię procesu analizy i DoS. Wymagana może być ręczna interwencja w celu odzyskania sprawności.
- CVE-2022-20746Wysokie
Podatność w funkcji proxy TCP w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowego obsługiwania przepływów TCP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany strumień ruchu TCP przez urządzenie, co może spowodować jego przeładowanie i DoS.
- CVE-2022-20730Średnie
Podatność w funkcji kanału Security Intelligence DNS w oprogramowaniu Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie kanału DNS Security Intelligence. Wynika to z nieprawidłowego przetwarzania aktualizacji kanału. Atakujący może wysyłać ruch przez urządzenie, który powinien być blokowany, aby ominąć kontrolę urządzenia i wysyłać ruch do chronionych systemów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the TCP Intercept functionality of Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to bypass configured Access Control Policies (including Geolocation) and Service Polices on an affected system. The vulnerability exists because TCP Intercept is invoked when the embryonic connection limit is reached, which can cause the underlying detection engine to process the packet incorrectly. An attacker could exploit this vulnerability by sending a crafted stream of traffic that matches a policy on which TCP Intercept is configured. A successful exploit could allow the attacker to match on an incorrect policy, which could allow the traffic to be forwarded when it should be dropped. In addition, the traffic could incorrectly be dropped.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS