CVE-2023-20107
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w generatorze liczb losowych (DRBG/PRNG) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla zapór ASA 5506-X, ASA 5508-X i ASA 5516-X pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie kolizji kryptograficznej, umożliwiającej odkrycie klucza prywatnego urządzenia. Wynika to z niewystarczającej entropii w DRBG na tych platformach sprzętowych podczas generowania kluczy kryptograficznych. Atak polega na wygenerowaniu dużej liczby kluczy i szukaniu kolizji z urządzeniami docelowymi.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia tożsamości urządzenia lub odszyfrowania ruchu przez atakującego, co może prowadzić do naruszenia poufności i integralności komunikacji.
Rekomendacja
Zaleca się aktualizację oprogramowania ASA/FTD do wersji zawierającej poprawkę oraz wymianę kluczy kryptograficznych na urządzeniach dotkniętych podatnością.
Inne podatności w Cisco Adaptive Security Appliance
Zobacz wszystkie- CVE-2024-20485Średnie
Podatność w serwerze VPN Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu lokalnemu atakującemu z uprawnieniami administratora wykonanie dowolnego kodu z uprawnieniami roota. Wynika to z nieprawidłowej walidacji pliku podczas odczytu z pamięci flash.
- CVE-2023-20006Wysokie
Podatność w sprzętowej funkcji kryptograficznej SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla urządzeń serii Firepower 2100 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z błędu implementacji w funkcjach kryptograficznych przetwarzania ruchu SSL/TLS, gdy są one odciążane do sprzętu. Atak polega na wysłaniu spreparowanego strumienia ruchu SSL/TLS do urządzenia.
- CVE-2022-20947Wysokie
Podatność w funkcji dynamicznych polityk dostępu (DAP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z nieprawidłowego przetwarzania danych HostScan otrzymywanych z modułu Posture (HostScan). Atak polega na wysłaniu spreparowanych danych HostScan do urządzenia.
- CVE-2022-20924Wysokie
Podatność w funkcji Simple Network Management Protocol (SNMP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi (DoS) na urządzeniu. Wynika to z niewystarczającej walidacji danych wejściowych. Atak polega na wysłaniu spreparowanego żądania SNMP, co może doprowadzić do przeładowania urządzenia.
- CVE-2022-20715Wysokie
Podatność w funkcjach SSL VPN zdalnego dostępu w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowej walidacji błędów logowanych podczas połączeń klientów VPN. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądania, co może spowodować restart urządzenia i DoS.
- CVE-2021-1422Wysokie
Podatność w module kryptograficznym oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu lub nieuwierzytelnionemu atakującemu w pozycji man-in-the-middle wywołać nieoczekiwane przeładowanie urządzenia, co skutkuje odmową usługi (DoS). Wynika to z błędu logicznego w obsłudze niektórych błędów deszyfrowania. Atakujący może wykorzystać tę podatność, wysyłając złośliwe pakiety przez ustanowione połączenie IPsec, co może spowodować awarię i przeładowanie urządzenia. Ważne: wykorzystanie nie narusza poufności zaszyfrowanych danych. Podatność dotyczy tylko wersji ASA 9.16.1 i FTD 7.0.0.
- CVE-2021-1493Wysokie
Podatność w interfejsie usług webowych oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu wywołać przepełnienie bufora na urządzeniu. Wynika to z niewystarczających kontroli granicznych dla danych przekazywanych do interfejsu. Atakujący może wykorzystać tę podatność, wysyłając złośliwe żądanie HTTP, co może doprowadzić do ujawnienia fragmentów danych lub przeładowania urządzenia i DoS.
- CVE-2020-3436Wysokie
Podatność w interfejsie usług webowych Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przesyłanie plików o dowolnym rozmiarze do określonych folderów na urządzeniu, co może prowadzić do nieoczekiwanego przeładowania urządzenia. Wynika to z nieefektywnego obsługiwania zapisu dużych plików. Atakujący może przesyłać pliki do tych folderów, co wywołuje limit czasu watchdoga i przeładowanie urządzenia, powodując DoS.
- CVE-2020-3306Wysokie
Podatność w module DHCP oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS) na urządzeniu. Wynika to z nieprawidłowego przetwarzania niektórych pakietów DHCP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet DHCP, co może spowodować DoS.
- CVE-2020-3305Wysokie
Podatność w implementacji modułu Border Gateway Protocol (BGP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowego przetwarzania niektórych pakietów BGP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet BGP, co może spowodować DoS.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the deterministic random bit generator (DRBG), also known as pseudorandom number generator (PRNG), in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software for Cisco ASA 5506-X, ASA 5508-X, and ASA 5516-X Firewalls could allow an unauthenticated, remote attacker to cause a cryptographic collision, enabling the attacker to discover the private key of an affected device. This vulnerability is due to insufficient entropy in the DRBG for the affected hardware platforms when generating cryptographic keys. An attacker could exploit this vulnerability by generating a large number of cryptographic keys on an affected device and looking for collisions with target devices. A successful exploit could allow the attacker to impersonate an affected target device or to decrypt traffic secured by an affected key that is sent to or from an affected target device.