CVE-2022-20795
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w implementacji protokołu Datagram TLS (DTLS) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wysokiego zużycia procesora, prowadząc do warunków DoS. Problem wynika z nieoptymalnego przetwarzania podczas ustanawiania tunelu DTLS w ramach połączenia AnyConnect SSL VPN. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień spreparowanego ruchu DTLS, co może wyczerpać zasoby urządzenia.
Ocena ryzyka
Ryzyko polega na możliwości wyczerpania zasobów urządzenia VPN, co może przerwać istniejące tunele DTLS i uniemożliwić nawiązywanie nowych, powodując DoS.
Rekomendacja
Zastosuj aktualizacje Cisco dla ASA i FTD. Monitoruj ruch DTLS i rozważ ograniczenie liczby jednoczesnych połączeń VPN.
Inne podatności w Cisco Adaptive Security Appliance (ASA) Software
Zobacz wszystkie- CVE-2016-1367Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) w wersji 9.4.1 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety DHCPv6.
- CVE-2015-0677Wysokie
Parser XML w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.4(7.28), 8.6(1.17), 9.0(4.33), 9.1(6), 9.2(3.4) i 9.3(3) jest podatny na atak, który może prowadzić do odmowy usługi poprzez specjalnie przygotowany dokument XML. Atak ten może skutkować przerwą w działaniu VPN lub ponownym uruchomieniem urządzenia.
- CVE-2015-0676Wysokie
Implementacja DNS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 7.2(5.16), 8.2(5.57), 8.3(2.44), 8.4(7.28), 8.5(1.24), 8.6(1.17), 8.7(1.16), 9.0(4.33), 9.1(6.1), 9.2(3.4) i 9.3(3) jest podatna na ataki typu man-in-the-middle, które mogą prowadzić do odmowy usługi poprzez wywoływanie zapytań DNS i wysyłanie spreparowanych odpowiedzi.
- CVE-2015-0675Wysokie
Implementacja failover IPsec w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 9.1(6), 9.2(3.3) i 9.3(3) nieprawidłowo weryfikuje komunikaty o failoverze, co pozwala zdalnym atakującym na przekonfigurowanie urządzenia ASA.
- CVE-2014-2129Wysokie
Silnik inspekcji SIP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 8.2(5.48), 8.4(6.5), 9.0(3.1) i 9.1(2.5) umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez specjalnie przygotowane pakiety SIP.
- CVE-2014-2127Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.48), 8.3 przed 8.3(2.40), 8.4 przed 8.4(7.9), 8.6 przed 8.6(1.13), 9.0 przed 9.0(4.1) oraz 9.1 przed 9.1(4.3) nieprawidłowo przetwarza informacje o sesji zarządzania podczas walidacji uprawnień dla połączeń portalu SSL VPN. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie wyższych uprawnień poprzez nawiązanie sesji Clientless SSL VPN i wprowadzenie spreparowanych adresów URL.
- CVE-2014-2126Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.47), 8.4(7.5), 8.7(1.11), 9.0(3.10) oraz 9.1(3.4) umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie dostępu ASDM na poziomie 0.
- CVE-2025-20182Wysokie
Podatność w przetwarzaniu protokołu Internet Key Exchange version 2 (IKEv2) w oprogramowaniu Cisco Adaptive Security Appliance (ASA), Cisco Firepower Threat Defense (FTD), Cisco IOS i Cisco IOS XE może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej podczas przetwarzania wiadomości IKEv2. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20426Wysokie
Podatność w protokole Internet Key Exchange version 2 (IKEv2) dla zakończenia VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20382Średnie
Podatność w funkcji VPN web client services w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na przeglądarkę użytkownika. Problem wynika z nieprawidłowej walidacji danych wprowadzanych przez użytkownika do punktów końcowych aplikacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the implementation of the Datagram TLS (DTLS) protocol in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause high CPU utilization, resulting in a denial of service (DoS) condition. This vulnerability is due to suboptimal processing that occurs when establishing a DTLS tunnel as part of an AnyConnect SSL VPN connection. An attacker could exploit this vulnerability by sending a steady stream of crafted DTLS traffic to an affected device. A successful exploit could allow the attacker to exhaust resources on the affected VPN headend device. This could cause existing DTLS tunnels to stop passing traffic and prevent new DTLS tunnels from establishing, resulting in a DoS condition. Note: When the attack traffic stops, the device recovers gracefully.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS