CVE-2021-40125
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Podatność w implementacji Internet Key Exchange Version 2 (IKEv2) w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu, zdalnemu atakującemu wywołanie warunku odmowy usługi (DoS). Wynika to z nieprawidłowej kontroli zasobów. Atakujący, który może podszyć się pod zaufanego peera VPN site-to-site IKEv2 i posiada ważne poświadczenia, może wysyłać złośliwe, uwierzytelnione wiadomości IKEv2, powodując przeładowanie urządzenia.
Ocena ryzyka
Ryzyko polega na możliwości przerwania działania urządzenia przez atakującego, co może prowadzić do niedostępności usług sieciowych i przerw w działaniu organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania do wersji z poprawką oraz ograniczenie zaufanych źródeł IKEv2, a także monitorowanie dzienników pod kątem nietypowej aktywności.
Inne podatności w Cisco ASA/FTD Software
Zobacz wszystkie- CVE-2023-20247Średnie
Podatność w funkcji zdalnego dostępu SSL VPN w oprogramowaniu Cisco ASA i FTD pozwala uwierzytelnionemu zdalnemu atakującemu na obejście skonfigurowanej polityki uwierzytelniania wielokrotnych certyfikatów i połączenie się tylko przy użyciu poprawnej nazwy użytkownika i hasła. Problem wynika z nieprawidłowej obsługi błędów podczas uwierzytelniania VPN. Atakujący może wysyłać spreparowane żądania podczas nawiązywania sesji VPN, co pozwala na obejście polityki certyfikatów przy zachowaniu uprawnień i przywilejów.
- CVE-2021-34794Średnie
Podatność w funkcji kontroli dostępu SNMPv3 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu zapytanie o dane SNMP. Wynika to z nieskutecznej kontroli dostępu. Atakujący może wysłać zapytanie SNMPv3 z hosta, który nie jest dozwolony przez listę kontroli dostępu, i uzyskać informacje z urządzenia, jeśli posiada ważne poświadczenia.
- CVE-2021-34787Średnie
Podatność w funkcji przetwarzania reguł zapory tożsamościowej (IDFW) w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń. Wynika to z nieprawidłowego obsługiwania żądań sieciowych przez urządzenia skonfigurowane z użyciem wyszukiwania grup obiektów. Atakujący może wysłać specjalnie spreparowane żądanie sieciowe, aby ominąć reguły listy kontroli dostępu (ACL) i wysyłać ruch do nieautoryzowanych hostów.
- CVE-2020-3585Średnie
Podatność w obsłudze TLS w oprogramowaniu Cisco ASA i FTD dla firewalli serii Firepower 1000 może umożliwić nieuwierzytelnionemu zdalnemu atakującemu uzyskanie dostępu do wrażliwych informacji. Problem wynika z niewłaściwego wdrożenia środków przeciwko atakowi Bleichenbachera dla zestawów szyfrów opartych na RSA. Atakujący może wysyłać spreparowane wiadomości TLS, co pozwala na atak typu chosen-ciphertext i potencjalne odszyfrowanie wcześniej przechwyconych sesji TLS.
- CVE-2020-3578Średnie
Podatność w interfejsie usług webowych oprogramowania Cisco ASA i FTD może umożliwić nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej reguły dostępu i dostęp do części portalu WebVPN, które powinny być zablokowane. Problem wynika z niewystarczającej walidacji URL-i, gdy skonfigurowane są reguły dostępu do portalu. Atakujący może wykorzystać tę podatność, uzyskując dostęp do określonych URL-i na urządzeniu.
- CVE-2020-3564Średnie
Podatność w silniku inspekcji FTP w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie inspekcji FTP. Problem wynika z nieskutecznego śledzenia przepływu ruchu FTP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany ruch FTP przez urządzenie, co pozwala na ominięcie inspekcji i nawiązanie połączeń FTP.
- CVE-2020-3561Średnie
Podatność w Clientless SSL VPN (WebVPN) w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wstrzyknięcie dowolnych nagłówków HTTP w odpowiedzi systemu. Problem wynika z niewłaściwej sanityzacji danych wejściowych. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia spreparowanego linku, co pozwala na atak CRLF i przekierowanie użytkownika na dowolne strony.
- CVE-2020-3529Wysokie
Podatność w procesie negocjacji SSL VPN w oprogramowaniu Cisco ASA i FTD może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieefektywnego zarządzania pamięcią DMA podczas negocjacji połączenia SSL VPN.
- CVE-2020-3373Wysokie
Podatność w implementacji obsługi fragmentów IP w oprogramowaniu Cisco ASA i FTD może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spowodowanie wycieku pamięci na urządzeniu. Wyciek pamięci może zablokować przetwarzanie ruchu, prowadząc do odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi błędów podczas składania fragmentów IP.
- CVE-2020-3298Wysokie
Podatność w implementacji protokołu OSPF w oprogramowaniu Cisco ASA i FTD może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowych mechanizmów ochrony pamięci podczas przetwarzania pakietów OSPF.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the Internet Key Exchange Version 2 (IKEv2) implementation of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an authenticated, remote attacker to trigger a denial of service (DoS) condition on an affected device. This vulnerability is due to improper control of a resource. An attacker with the ability to spoof a trusted IKEv2 site-to-site VPN peer and in possession of valid IKEv2 credentials for that peer could exploit this vulnerability by sending malformed, authenticated IKEv2 messages to an affected device. A successful exploit could allow the attacker to trigger a reload of the device.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS