Podatności Cisco Adaptive Security Appliance (ASA) Software

Implementacja relay DHCPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) w wersji 9.4.1 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety DHCPv6.

Parser XML w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 8.4(7.28), 8.6(1.17), 9.0(4.33), 9.1(6), 9.2(3.4) i 9.3(3) jest podatny na atak, który może prowadzić do odmowy usługi poprzez specjalnie przygotowany dokument XML. Atak ten może skutkować przerwą w działaniu VPN lub ponownym uruchomieniem urządzenia.

Implementacja DNS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 7.2(5.16), 8.2(5.57), 8.3(2.44), 8.4(7.28), 8.5(1.24), 8.6(1.17), 8.7(1.16), 9.0(4.33), 9.1(6.1), 9.2(3.4) i 9.3(3) jest podatna na ataki typu man-in-the-middle, które mogą prowadzić do odmowy usługi poprzez wywoływanie zapytań DNS i wysyłanie spreparowanych odpowiedzi.

Implementacja failover IPsec w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersją 9.1(6), 9.2(3.3) i 9.3(3) nieprawidłowo weryfikuje komunikaty o failoverze, co pozwala zdalnym atakującym na przekonfigurowanie urządzenia ASA.

Silnik inspekcji SIP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) przed wersjami 8.2(5.48), 8.4(6.5), 9.0(3.1) i 9.1(2.5) umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez specjalnie przygotowane pakiety SIP.

Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.48), 8.3 przed 8.3(2.40), 8.4 przed 8.4(7.9), 8.6 przed 8.6(1.13), 9.0 przed 9.0(4.1) oraz 9.1 przed 9.1(4.3) nieprawidłowo przetwarza informacje o sesji zarządzania podczas walidacji uprawnień dla połączeń portalu SSL VPN. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie wyższych uprawnień poprzez nawiązanie sesji Clientless SSL VPN i wprowadzenie spreparowanych adresów URL.

Oprogramowanie Cisco Adaptive Security Appliance (ASA) w wersjach przed 8.2(5.47), 8.4(7.5), 8.7(1.11), 9.0(3.10) oraz 9.1(3.4) umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez wykorzystanie dostępu ASDM na poziomie 0.

Podatność w przetwarzaniu protokołu Internet Key Exchange version 2 (IKEv2) w oprogramowaniu Cisco Adaptive Security Appliance (ASA), Cisco Firepower Threat Defense (FTD), Cisco IOS i Cisco IOS XE może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej podczas przetwarzania wiadomości IKEv2. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.

Podatność w protokole Internet Key Exchange version 2 (IKEv2) dla zakończenia VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z niewystarczającej walidacji wejściowej. Wysłanie spreparowanego ruchu IKEv2 może spowodować przeładowanie urządzenia, co prowadzi do DoS.

Podatność w funkcji VPN web client services w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na przeglądarkę użytkownika. Problem wynika z nieprawidłowej walidacji danych wprowadzanych przez użytkownika do punktów końcowych aplikacji.

Podatność w funkcji uwierzytelniania sesji w funkcji Remote Access SSL VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na uniemożliwienie użytkownikom uwierzytelnienia. Problem wynika z niewystarczającej entropii w procesie uwierzytelniania. Atakujący może wykorzystać tę podatność, określając uchwyt uwierzytelniającego się użytkownika i używając go do zakończenia sesji uwierzytelniania, co zmusza użytkownika do ponownego rozpoczęcia procesu.

Podatność w funkcji Simple Network Management Protocol (SNMP) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić uwierzytelnionemu, zdalnemu atakującemu na spowodowanie nieoczekiwanego przeładowania urządzenia. Problem wynika z niewystarczającej walidacji wejściowej pakietów SNMP. Wysłanie spreparowanego żądania SNMP przez IPv4 lub IPv6 może spowodować przeładowanie urządzenia, co prowadzi do DoS. Podatność dotyczy wszystkich wersji SNMP (1, 2c, 3) i wymaga ważnej społeczności SNMP lub ważnych poświadczeń SNMPv3.

Podatność w implementacji SAML 2.0 single sign-on (SSO) dla usług zdalnego dostępu VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu, zdalnemu atakującemu pomyślne ustanowienie sesji VPN na urządzeniu. Problem wynika z nieprawidłowego rozdzielenia domen autoryzacji podczas korzystania z uwierzytelniania SAML.

Podatność w aktywacji listy kontroli dostępu (ACL) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie ochrony oferowanej przez skonfigurowaną ACL. Problem wynika z błędu logicznego podczas zmiany stanu ACL z nieaktywnej na aktywną w bieżącej konfiguracji.

Podatność w funkcji przywracania (restore) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, lokalnemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami root. Wymagane są uprawnienia administratora. Problem wynika z nieprawidłowego czyszczenia zawartości pliku kopii zapasowej podczas przywracania. Atakujący może wykorzystać tę podatność, przywracając spreparowany plik kopii zapasowej.

Podatność w implementacji SAML 2.0 single sign-on (SSO) dla zdalnego dostępu VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przechwycenie asercji SAML użytkownika uwierzytelniającego się do sesji VPN. Problem wynika z niewystarczającej walidacji adresu URL logowania.

Podatność w funkcji zdalnego dostępu VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) na urządzeniu. Problem wynika z nieprawidłowej obsługi żądań HTTPS. Wysłanie spreparowanych żądań HTTPS może spowodować wyczerpanie zasobów, co prowadzi do DoS.

Podatność w funkcji AnyConnect SSL VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie warunków DoS na urządzeniu. Problem wynika z błędu w obsłudze sesji SSL/TLS, który może uniemożliwić zwolnienie uchwytu sesji w określonych warunkach. Atakujący może wykorzystać tę podatność, wysyłając spreparowany ruch SSL/TLS, co zwiększa prawdopodobieństwo wycieku uchwytów sesji i ostatecznie wyczerpuje pulę dostępnych uchwytów.

Podatność w przetwarzaniu ICMPv6 w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) może pozwolić niezautoryzowanemu, zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Problem wynika z nieprawidłowego przetwarzania wiadomości ICMPv6. Wysłanie spreparowanych wiadomości ICMPv6 do systemu z włączonym IPv6 może spowodować przeładowanie urządzenia.

Podatność w module klienta IPv6 DHCP (DHCPv6) w oprogramowaniu Cisco Adaptive Security Appliance (ASA), Cisco Firepower Threat Defense (FTD), Cisco IOS i Cisco IOS XE pozwala nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie warunków DoS na urządzeniu. Problem wynika z niewystarczającej walidacji wiadomości DHCPv6. Atakujący może wykorzystać tę podatność, wysyłając spreparowane wiadomości DHCPv6, co może spowodować przeładowanie urządzenia. Aby wykorzystać podatność, atakujący musi kontrolować serwer DHCPv6 lub znajdować się w pozycji man-in-the-middle.

Podatność w przepływach uwierzytelniania i autoryzacji dla połączeń VPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na nawiązanie połączenia jako inny użytkownik. Problem wynika z błędu w weryfikacji autoryzacji podczas uwierzytelniania VPN. Atakujący musi posiadać ważne poświadczenia, aby wykorzystać podatność, wysyłając spreparowany pakiet podczas uwierzytelniania, co pozwala na uzyskanie dostępu z uprawnieniami innego użytkownika.

Podatność w obsłudze inspekcji DNS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynika z braku odpowiedniego przetwarzania przychodzących żądań. Atak polega na wysyłaniu spreparowanych żądań DNS z dużą szybkością do urządzenia.

Podatność w implementacji protokołu Datagram TLS (DTLS) w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie wysokiego zużycia procesora, prowadząc do warunków DoS. Problem wynika z nieoptymalnego przetwarzania podczas ustanawiania tunelu DTLS w ramach połączenia AnyConnect SSL VPN. Atakujący może wykorzystać tę podatność, wysyłając ciągły strumień spreparowanego ruchu DTLS, co może wyczerpać zasoby urządzenia.

Podatność w interfejsie usług webowych Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atakujący może wysłać złośliwe żądanie HTTPS, co powoduje przeładowanie urządzenia i DoS.

Podatność w interfejsie usług webowych Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atakujący może wysłać złośliwe żądanie HTTPS, co powoduje przeładowanie urządzenia i DoS.

Podatność w interfejsie usług webowych Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atakujący może wysłać złośliwe żądanie HTTPS, co powoduje przeładowanie urządzenia i DoS.

Podatność w TCP Normalizer oprogramowania Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) działającego w trybie przezroczystym może pozwolić niezautoryzowanemu, zdalnemu atakującemu na zatrucie tablic adresów MAC, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowej obsługi niektórych segmentów TCP w trybie przezroczystym. Wysłanie spreparowanego segmentu TCP może zatruć tablice MAC w sąsiednich urządzeniach, powodując zakłócenia w sieci.

Wiele podatności w Application Level Gateway (ALG) dla funkcji Network Address Translation (NAT) w Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie ALG i otwarcie nieautoryzowanych połączeń z hostem znajdującym się za ALG. Podatności te są publicznie znane jako NAT Slipstreaming.

Wiele podatności w Application Level Gateway (ALG) dla funkcji Network Address Translation (NAT) w Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie ALG i otwarcie nieautoryzowanych połączeń z hostem znajdującym się za ALG. Podatności te są publicznie znane jako NAT Slipstreaming.

Wiele podatności w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynikają z braku odpowiedniej walidacji wejściowej żądań HTTPS. Atak polega na wysłaniu spreparowanego żądania HTTPS do urządzenia. Podatność dotyczy tylko określonych konfiguracji AnyConnect i WebVPN.

Podatność w silniku inspekcji SIP w Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować awarię i przeładowanie urządzenia, co prowadzi do DoS. Problem wynika z awarii podczas wyszukiwania haszowego dla połączenia SIP pinhole. Atakujący może wysłać spreparowany ruch SIP przez urządzenie, co powoduje awarię i przeładowanie.

Wiele podatności w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynikają z braku odpowiedniej walidacji wejściowej żądań HTTPS. Atak polega na wysłaniu spreparowanego żądania HTTPS do urządzenia. Podatność dotyczy tylko określonych konfiguracji AnyConnect i WebVPN.

Wiele podatności w interfejsie usług webowych Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków typu cross-site scripting (XSS) przeciwko użytkownikowi interfejsu. Podatności wynikają z niewystarczającej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać je, nakłaniając użytkownika do kliknięcia spreparowanego linku.

Wiele podatności w interfejsie usług webowych Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków typu cross-site scripting (XSS) przeciwko użytkownikowi interfejsu. Podatności wynikają z niewystarczającej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać je, nakłaniając użytkownika do kliknięcia spreparowanego linku.

Wiele podatności w interfejsie usług webowych Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków typu cross-site scripting (XSS) przeciwko użytkownikowi interfejsu. Podatności wynikają z niewystarczającej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać je, nakłaniając użytkownika do kliknięcia spreparowanego linku.

Podatność w obsłudze sesji SSL/TLS w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynika z wycieku pamięci podczas zamykania połączeń SSL/TLS w określonym stanie. Atak polega na ustanowieniu wielu sesji SSL/TLS i zamykaniu ich w określonych warunkach.

Podatność w portalu Clientless SSL VPN (WebVPN) Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) przeciwko użytkownikowi interfejsu zarządzania opartego na przeglądarce. Problem wynika z niewystarczającej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia spreparowanego linku.

Podatność w silniku inspekcji FTP w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynika z niewystarczającej walidacji danych FTP. Atak polega na wysyłaniu złośliwego ruchu FTP przez urządzenie.

Podatność w silniku detekcji oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, sąsiadującemu atakującemu na wysyłanie danych bezpośrednio do jądra urządzenia. Problem wynika z nieprawidłowego filtrowania ramek Ethernet wysyłanych do urządzenia. Atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety do interfejsu zarządzania, co pozwala ominąć filtry warstwy 2 i dostarczyć dane do jądra.