Podatności Cisco Adaptive Security Appliance

Podatność w serwerze VPN Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu lokalnemu atakującemu z uprawnieniami administratora wykonanie dowolnego kodu z uprawnieniami roota. Wynika to z nieprawidłowej walidacji pliku podczas odczytu z pamięci flash.

Podatność w sprzętowej funkcji kryptograficznej SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla urządzeń serii Firepower 2100 pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z błędu implementacji w funkcjach kryptograficznych przetwarzania ruchu SSL/TLS, gdy są one odciążane do sprzętu. Atak polega na wysłaniu spreparowanego strumienia ruchu SSL/TLS do urządzenia.

Podatność w generatorze liczb losowych (DRBG/PRNG) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) dla zapór ASA 5506-X, ASA 5508-X i ASA 5516-X pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie kolizji kryptograficznej, umożliwiającej odkrycie klucza prywatnego urządzenia. Wynika to z niewystarczającej entropii w DRBG na tych platformach sprzętowych podczas generowania kluczy kryptograficznych. Atak polega na wygenerowaniu dużej liczby kluczy i szukaniu kolizji z urządzeniami docelowymi.

Podatność w funkcji dynamicznych polityk dostępu (DAP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Wynika to z nieprawidłowego przetwarzania danych HostScan otrzymywanych z modułu Posture (HostScan). Atak polega na wysłaniu spreparowanych danych HostScan do urządzenia.

Podatność w funkcji Simple Network Management Protocol (SNMP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi (DoS) na urządzeniu. Wynika to z niewystarczającej walidacji danych wejściowych. Atak polega na wysłaniu spreparowanego żądania SNMP, co może doprowadzić do przeładowania urządzenia.

Podatność w funkcjach SSL VPN zdalnego dostępu w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowej walidacji błędów logowanych podczas połączeń klientów VPN. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądania, co może spowodować restart urządzenia i DoS.

Podatność w module kryptograficznym oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu lub nieuwierzytelnionemu atakującemu w pozycji man-in-the-middle wywołać nieoczekiwane przeładowanie urządzenia, co skutkuje odmową usługi (DoS). Wynika to z błędu logicznego w obsłudze niektórych błędów deszyfrowania. Atakujący może wykorzystać tę podatność, wysyłając złośliwe pakiety przez ustanowione połączenie IPsec, co może spowodować awarię i przeładowanie urządzenia. Ważne: wykorzystanie nie narusza poufności zaszyfrowanych danych. Podatność dotyczy tylko wersji ASA 9.16.1 i FTD 7.0.0.

Podatność w interfejsie usług webowych oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu wywołać przepełnienie bufora na urządzeniu. Wynika to z niewystarczających kontroli granicznych dla danych przekazywanych do interfejsu. Atakujący może wykorzystać tę podatność, wysyłając złośliwe żądanie HTTP, co może doprowadzić do ujawnienia fragmentów danych lub przeładowania urządzenia i DoS.

Podatność w interfejsie usług webowych Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przesyłanie plików o dowolnym rozmiarze do określonych folderów na urządzeniu, co może prowadzić do nieoczekiwanego przeładowania urządzenia. Wynika to z nieefektywnego obsługiwania zapisu dużych plików. Atakujący może przesyłać pliki do tych folderów, co wywołuje limit czasu watchdoga i przeładowanie urządzenia, powodując DoS.

Podatność w module DHCP oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS) na urządzeniu. Wynika to z nieprawidłowego przetwarzania niektórych pakietów DHCP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet DHCP, co może spowodować DoS.

Podatność w implementacji modułu Border Gateway Protocol (BGP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowego przetwarzania niektórych pakietów BGP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet BGP, co może spowodować DoS.

Podatność w funkcji Internet Key Exchange version 1 (IKEv1) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowego zarządzania pamięcią systemową. Atakujący może wykorzystać tę podatność, wysyłając złośliwy ruch IKEv1, co może spowodować DoS.

Podatność w funkcji IKEv1 w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wywołanie przeładowania urządzenia, co prowadzi do DoS. Wynika to z nieprawidłowego zarządzania pamięcią systemową. Atakujący może wysyłać złośliwy ruch IKEv1 bez ważnych poświadczeń, co prowadzi do wyczerpania zasobów pamięci i przeładowania urządzenia.

Podatność w funkcji WebVPN w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie zwiększonego zużycia procesora na urządzeniu. Wynika to z nadmiernego obciążenia przetwarzania dla konkretnego żądania strony HTTP WebVPN. Atakujący może wysyłać wiele żądań ładowania stron WebVPN dla konkretnego URL, co prowadzi do zwiększenia obciążenia CPU i warunków DoS.

Podatność w implementacji SAML 2.0 Single Sign-On dla Clientless SSL VPN (WebVPN) i AnyConnect Remote Access VPN w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu nawiązanie sesji VPN. Wynika to z nieprawidłowego zarządzania poświadczeniami przy użyciu uwierzytelniania NTLM lub podstawowego. Atakujący może otworzyć sesję VPN po udanym uwierzytelnieniu innego użytkownika przez SAML SSO, co pozwala na połączenie z zabezpieczonymi sieciami.

Podatność w funkcji MOBIKE (Internet Key Exchange Version 2 Mobility and Multihoming Protocol) w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie wycieku pamięci lub przeładowania urządzenia, co prowadzi do warunków DoS. Problem wynika z nieprawidłowego przetwarzania niektórych pakietów MOBIKE. Atakujący może wysyłać spreparowane pakiety MOBIKE, co prowadzi do ciągłego zużywania pamięci i ostatecznego przeładowania urządzenia.

Podatność w procesie logowania WebVPN w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie zwiększonego zużycia procesora na urządzeniu. Wynika to z nadmiernego obciążenia przetwarzania dla istniejących operacji logowania WebVPN. Atakujący może wysyłać wiele żądań logowania WebVPN, co prowadzi do zwiększenia obciążenia CPU i warunków DoS.

Podatność w funkcji uwierzytelniania certyfikatu klienta SSL VPN w Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu nawiązanie połączenia SSL VPN z pominięciem niektórych kroków weryfikacji certyfikatu. Wynika to z nieprawidłowej weryfikacji certyfikatu klienta SSL. Atakujący może wykorzystać tę podatność, łącząc się z VPN ASA bez odpowiedniej pary klucza prywatnego i certyfikatu, co pozwala na nawiązanie połączenia, które powinno zostać odrzucone.