CVE-2023-20264
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w implementacji SAML 2.0 single sign-on (SSO) dla zdalnego dostępu VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przechwycenie asercji SAML użytkownika uwierzytelniającego się do sesji VPN. Problem wynika z niewystarczającej walidacji adresu URL logowania.
Ocena ryzyka
Atakujący może nakłonić użytkownika do odwiedzenia kontrolowanej strony, zmodyfikować URL logowania i przechwycić asercję SAML, co pozwoli na ustanowienie sesji VPN z tożsamością i uprawnieniami ofiary, uzyskując dostęp do chronionej sieci.
Rekomendacja
Zastosuj aktualizacje Cisco dla ASA i FTD. Edukuj użytkowników o zagrożeniach związanych z odwiedzaniem nieznanych stron podczas logowania.
Inne podatności w Cisco Adaptive Security Appliance (ASA) Software
Zobacz wszystkie- CVE-2016-1367Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) w wersji 9.4.1 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety DHCPv6.
- CVE-2015-0677Wysokie
Parser XML w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.4(7.28), 8.6(1.17), 9.0(4.33), 9.1(6), 9.2(3.4) i 9.3(3) jest podatny na atak, który może prowadzić do odmowy usługi poprzez specjalnie przygotowany dokument XML. Atak ten może skutkować przerwą w działaniu VPN lub ponownym uruchomieniem urządzenia.
- CVE-2015-0676Wysokie
Implementacja DNS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 7.2(5.16), 8.2(5.57), 8.3(2.44), 8.4(7.28), 8.5(1.24), 8.6(1.17), 8.7(1.16), 9.0(4.33), 9.1(6.1), 9.2(3.4) i 9.3(3) jest podatna na ataki typu man-in-the-middle, które mogą prowadzić do odmowy usługi poprzez wywoływanie zapytań DNS i wysyłanie spreparowanych odpowiedzi.
- CVE-2015-0675Wysokie
Implementacja failover IPsec w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 9.1(6), 9.2(3.3) i 9.3(3) nieprawidłowo weryfikuje komunikaty o failoverze, co pozwala zdalnym atakującym na przekonfigurowanie urządzenia ASA.
- CVE-2014-2129Wysokie
Silnik inspekcji SIP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 8.2(5.48), 8.4(6.5), 9.0(3.1) i 9.1(2.5) umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez specjalnie przygotowane pakiety SIP.
- CVE-2014-2127Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.48), 8.3 przed 8.3(2.40), 8.4 przed 8.4(7.9), 8.6 przed 8.6(1.13), 9.0 przed 9.0(4.1) oraz 9.1 przed 9.1(4.3) nieprawidłowo przetwarza informacje o sesji zarządzania podczas walidacji uprawnień dla połączeń portalu SSL VPN. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie wyższych uprawnień poprzez nawiązanie sesji Clientless SSL VPN i wprowadzenie spreparowanych adresów URL.
- CVE-2014-2126Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.47), 8.4(7.5), 8.7(1.11), 9.0(3.10) oraz 9.1(3.4) umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie dostępu ASDM na poziomie 0.
- CVE-2025-20182Wysokie
Podatność w przetwarzaniu protokołu Internet Key Exchange version 2 (IKEv2) w oprogramowaniu Cisco Adaptive Security Appliance (ASA), Cisco Firepower Threat Defense (FTD), Cisco IOS i Cisco IOS XE może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej podczas przetwarzania wiadomości IKEv2. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20426Wysokie
Podatność w protokole Internet Key Exchange version 2 (IKEv2) dla zakończenia VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20382Średnie
Podatność w funkcji VPN web client services w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na przeglądarkę użytkownika. Problem wynika z nieprawidłowej walidacji danych wprowadzanych przez użytkownika do punktów końcowych aplikacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the implementation of Security Assertion Markup Language (SAML) 2.0 single sign-on (SSO) for remote access VPN in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to intercept the SAML assertion of a user who is authenticating to a remote access VPN session. This vulnerability is due to insufficient validation of the login URL. An attacker could exploit this vulnerability by persuading a user to access a site that is under the control of the attacker, allowing the attacker to modify the login URL. A successful exploit could allow the attacker to intercept a successful SAML assertion and use that assertion to establish a remote access VPN session toward the affected device with the identity and permissions of the hijacked user, resulting in access to the protected network.