CVE-2024-20331
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w funkcji uwierzytelniania sesji w funkcji Remote Access SSL VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na uniemożliwienie użytkownikom uwierzytelnienia. Problem wynika z niewystarczającej entropii w procesie uwierzytelniania. Atakujący może wykorzystać tę podatność, określając uchwyt uwierzytelniającego się użytkownika i używając go do zakończenia sesji uwierzytelniania, co zmusza użytkownika do ponownego rozpoczęcia procesu.
Ocena ryzyka
Ryzyko polega na możliwości blokowania legalnych użytkowników przed nawiązaniem sesji VPN, co prowadzi do przerw w dostępie zdalnym.
Rekomendacja
Zastosuj aktualizacje Cisco dla ASA i FTD. Monitoruj próby uwierzytelniania i rozważ wdrożenie dodatkowych mechanizmów zabezpieczających.
Inne podatności w Cisco Adaptive Security Appliance (ASA) Software
Zobacz wszystkie- CVE-2016-1367Wysokie
Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) w wersji 9.4.1 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety DHCPv6.
- CVE-2015-0677Wysokie
Parser XML w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.4(7.28), 8.6(1.17), 9.0(4.33), 9.1(6), 9.2(3.4) i 9.3(3) jest podatny na atak, który może prowadzić do odmowy usługi poprzez specjalnie przygotowany dokument XML. Atak ten może skutkować przerwą w działaniu VPN lub ponownym uruchomieniem urządzenia.
- CVE-2015-0676Wysokie
Implementacja DNS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 7.2(5.16), 8.2(5.57), 8.3(2.44), 8.4(7.28), 8.5(1.24), 8.6(1.17), 8.7(1.16), 9.0(4.33), 9.1(6.1), 9.2(3.4) i 9.3(3) jest podatna na ataki typu man-in-the-middle, które mogą prowadzić do odmowy usługi poprzez wywoływanie zapytań DNS i wysyłanie spreparowanych odpowiedzi.
- CVE-2015-0675Wysokie
Implementacja failover IPsec w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 9.1(6), 9.2(3.3) i 9.3(3) nieprawidłowo weryfikuje komunikaty o failoverze, co pozwala zdalnym atakującym na przekonfigurowanie urządzenia ASA.
- CVE-2014-2129Wysokie
Silnik inspekcji SIP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 8.2(5.48), 8.4(6.5), 9.0(3.1) i 9.1(2.5) umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez specjalnie przygotowane pakiety SIP.
- CVE-2014-2127Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.48), 8.3 przed 8.3(2.40), 8.4 przed 8.4(7.9), 8.6 przed 8.6(1.13), 9.0 przed 9.0(4.1) oraz 9.1 przed 9.1(4.3) nieprawidłowo przetwarza informacje o sesji zarządzania podczas walidacji uprawnień dla połączeń portalu SSL VPN. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie wyższych uprawnień poprzez nawiązanie sesji Clientless SSL VPN i wprowadzenie spreparowanych adresów URL.
- CVE-2014-2126Wysokie
Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.47), 8.4(7.5), 8.7(1.11), 9.0(3.10) oraz 9.1(3.4) umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie dostępu ASDM na poziomie 0.
- CVE-2025-20182Wysokie
Podatność w przetwarzaniu protokołu Internet Key Exchange version 2 (IKEv2) w oprogramowaniu Cisco Adaptive Security Appliance (ASA), Cisco Firepower Threat Defense (FTD), Cisco IOS i Cisco IOS XE może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej podczas przetwarzania wiadomości IKEv2. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20426Wysokie
Podatność w protokole Internet Key Exchange version 2 (IKEv2) dla zakończenia VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.
- CVE-2024-20382Średnie
Podatność w funkcji VPN web client services w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na przeglądarkę użytkownika. Problem wynika z nieprawidłowej walidacji danych wprowadzanych przez użytkownika do punktów końcowych aplikacji.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the session authentication functionality of the Remote Access SSL VPN feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to prevent users from authenticating. This vulnerability is due to insufficient entropy in the authentication process. An attacker could exploit this vulnerability by determining the handle of an authenticating user and using it to terminate their authentication session. A successful exploit could allow the attacker to force a user to restart the authentication process, preventing a legitimate user from establishing remote access VPN sessions.