CVE-2022-20949

Podatność w interakcji między funkcją TCP Intercept a silnikiem detekcji Snort 3 w oprogramowaniu Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie skonfigurowanych polityk. Problem wynika z błędu logicznego podczas obsługi połączeń TCP w stanie embryonic (półotwartych). Urządzenia z Snort 2 nie są dotknięte.

Podatność w funkcji przetwarzania TLS w oprogramowaniu Cisco Firepower Threat Defense (FTD) dla serii Firepower 2100 może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem występuje podczas przetwarzania ruchu TLS, a wykorzystanie go przez wysłanie określonego ruchu TLS przez IPv4 może spowodować przeładowanie urządzenia, co wpływa na ruch przechodzący przez urządzenie.

Podatność w silnikach detekcji Snort 2 i Snort 3 dla TCP i UDP w oprogramowaniu Cisco Firepower Threat Defense (FTD) dla urządzeń serii Firepower 2100 może pozwolić niezautoryzowanemu, zdalnemu atakującemu na spowodowanie uszkodzenia pamięci, co prowadzi do nieoczekiwanego restartu silnika Snort. Problem wynika z nieprawidłowego zarządzania pamięcią podczas przetwarzania określonych pakietów TCP lub UDP. Wykorzystanie może spowodować wielokrotne restarty silnika Snort, co prowadzi do DoS.

Podatność w funkcji polityki plików używanej do inspekcji zaszyfrowanych plików archiwów w oprogramowaniu Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie skonfigurowanej polityki blokowania zaszyfrowanego pliku archiwum. Problem wynika z błędu logicznego podczas inspekcji określonej klasy zaszyfrowanych plików archiwów.

Podatność w inspekcji ICMPv6 skonfigurowanej z silnikiem detekcji Snort 2 w oprogramowaniu Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na spowodowanie wzrostu użycia CPU do 100%, co zatrzymuje przetwarzanie ruchu i prowadzi do DoS. Problem wynika z nieprawidłowej kontroli błędów podczas parsowania pól w nagłówku ICMPv6. Wysłanie spreparowanego pakietu ICMPv6 może wyczerpać zasoby CPU i zatrzymać przetwarzanie ruchu.

Podatność w interakcji protokołu SIP i Snort 3 w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na ponowne uruchomienie silnika detekcji Snort 3. Problem wynika z braku sprawdzania błędów podczas inspekcji dwukierunkowych przepływów SIP przez Snort 3. Atakujący może wykorzystać tę podatność, wysyłając strumień spreparowanego ruchu SIP przez interfejs urządzenia docelowego, co prowadzi do warunków DoS.

Podatność w funkcji oceny reguł Snort w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynika z nieprawidłowej obsługi reguły egzekwowania reputacji DNS. Atak polega na wysyłaniu spreparowanych pakietów UDP przez urządzenie, co wymusza gromadzenie połączeń UDP. Podatność dotyczy tylko urządzeń FTD działających z Snort 3.

Podatność w integracji silnika detekcji Snort w Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować nieograniczone zużycie pamięci, co prowadzi do DoS. Wynika to z niewystarczającego zarządzania pamięcią dla niektórych zdarzeń Snort. Atakujący może wysyłać serię spreparowanych pakietów IP, generując określone zdarzenia Snort, co prowadzi do braku pamięci i przerwania ruchu; w niektórych przypadkach może spowodować przeładowanie urządzenia.

Podatność w przetwarzaniu połączeń SSH w wieloinstancyjnych wdrożeniach Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać warunek DoS. Wynika to z braku odpowiedniej obsługi błędów, gdy sesja SSH nie może zostać nawiązana. Atakujący może wysłać dużą liczbę spreparowanych połączeń SSH, co prowadzi do wyczerpania zasobów i DoS; urządzenie wymaga ręcznego przeładowania.

Podatność w procesorze pakietów wejściowych Simple Network Management Protocol (SNMP) w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie nieoczekiwanego restartu urządzenia. Wynika z braku wystarczających zabezpieczeń zarządzania pamięcią przy dużym obciążeniu zapytaniami SNMP. Atak polega na wysyłaniu dużej liczby żądań SNMP do demona SNMP przez interfejs zarządzania.