Podatności Cisco ASA Software

Podatność w funkcji Identity Firewall oprogramowania Cisco ASA przed wersją 9.6(2.1) może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie ponownego uruchomienia systemu lub zdalne wykonanie kodu. Problem wynika z przepełnienia bufora w odpowiednim obszarze kodu.

Podatność w lokalnej funkcji Certyfikatu Autoryzacyjnego (CA) oprogramowania Cisco ASA przed wersją 9.6(1.5) może pozwolić nieautoryzowanemu, zdalnemu atakującemu na spowodowanie ponownego uruchomienia systemu. Problem wynika z niewłaściwego przetwarzania stworzonych pakietów podczas operacji rejestracji.

Portal SSL VPN bez klienta w oprogramowaniu Cisco ASA przed wersją 8.2(5.51), 8.3(2.42), 8.4(7.23), 8.6(1.15), 9.0(4.24), 9.1(5.12), 9.2(2.8) i 9.3(1.1) pozwala zdalnym atakującym na uzyskanie wrażliwych informacji z pamięci procesu lub modyfikację zawartości pamięci za pomocą spreparowanych parametrów.

Implementacja VPN w oprogramowaniu Cisco ASA w wersjach przed 7.2(5.15), 8.2(5.51), 8.3(2.42), 8.4(7.23), 8.6(1.15), 9.0(4.24), 9.1(5.12), 9.2(2.6) i 9.3(1.1) nieprawidłowo wdraża filtr tunelowy, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do jednostki zapasowej za pomocą spreparowanych pakietów.

Silnik inspekcji DNS w oprogramowaniu Cisco ASA w wersjach 9.0 przed 9.0(4.13), 9.1 przed 9.1(5.7) oraz 9.2 przed 9.2(2) umożliwia zdalnym atakującym spowodowanie odmowy usługi (przeładowanie urządzenia) za pomocą spreparowanych pakietów DNS.

Silnik inspekcji SunRPC w oprogramowaniu Cisco ASA przed wersjami 7.2(5.14), 8.2(5.51), 8.3(2.42), 8.4(7.23), 8.5(1.21), 8.6(1.14), 8.7(1.13), 9.0(4.5) i 9.1(5.3) pozwala zdalnym atakującym na wywołanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety SunRPC.

Silnik inspekcji protokołu tunelowania GPRS (GTP) w oprogramowaniu Cisco ASA przed wersją 8.2(5.51), 8.4(7.15), 8.7(1.13), 9.0(4.8) i 9.1(5.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez odpowiednio skonstruowaną serię pakietów GTP.

W systemie Cisco ASA występuje warunkowa podatność wyścigu w funkcji monitorowania zdrowia i wydajności (HPM) dla ASDM, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez generowanie wielu półotwartych połączeń TCP jednocześnie.

Implementacja IKEv2 w oprogramowaniu Cisco ASA przed wersjami 8.4(7.15), 8.6(1.14), 9.0(4.8) i 9.1(5.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wysłanie spreparowanego pakietu podczas tworzenia tunelu.

Implementacja IKE w komponencie VPN w oprogramowaniu Cisco ASA w wersji 9.1 przed 9.1(5.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) za pomocą spreparowanych pakietów UDP.

Silnik inspekcji SQL*Net w oprogramowaniu Cisco ASA przed wersjami 7.2(5.13), 8.2(5.50), 8.3(2.42), 8.4(7.15), 8.5(1.21), 8.6(1.14), 8.7(1.13), 9.0(4.5) i 9.1(5.1) pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowane pakiety SQL REDIRECT.

Podatność w funkcji SSL VPN w oprogramowaniu Cisco ASA umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeładowanie systemu lub zdalne wykonanie kodu. Problem wynika z podwójnego zwolnienia pamięci, gdy włączona jest funkcja webvpn. Atakujący może wykorzystać tę podatność, wysyłając wiele spreparowanych pakietów XML do interfejsu z webvpn.

Podatność w funkcji Remote Access VPN w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowej walidacji danych klucza klienta po ustanowieniu sesji TLS. Atak polega na wysłaniu spreparowanej wartości klucza przez bezpieczną sesję TLS.

Podatność w funkcji kryptograficznej TLS w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowej walidacji danych podczas uzgadniania TLS 1.3. Atak polega na wysłaniu spreparowanego pakietu TLS 1.3 do nasłuchującego gniazda z włączonym TLS 1.3. Dodatkowo może wpływać na integralność urządzenia, powodując awarie komunikacji VPN HostScan lub transferu plików podczas aktualizacji przez ASDM.

Podatność w funkcji logowania dla zdalnego dostępu SSL VPN w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu zablokowanie uwierzytelniania użytkowników VPN na kilka minut, powodując tymczasowy brak dostępu (DoS). Podatność wynika z nieefektywnego zarządzania zasobami pamięci podczas procesu uwierzytelniania. Atakujący może wysłać spreparowane pakiety, co prowadzi do wyczerpania zasobów procesu uwierzytelniania.

Podatność w funkcji Dynamic Access Policies (DAP) w oprogramowaniu Cisco ASA i FTD umożliwia uwierzytelnionemu zdalnemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia. Do wykorzystania podatności atakujący potrzebuje ważnych poświadczeń użytkownika zdalnego VPN. Problem wynika z nieprawidłowej walidacji danych w żądaniach HTTPS POST. Atak polega na wysłaniu spreparowanego żądania HTTPS POST do urządzenia.

Podatność w funkcji SSL VPN w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z błędu logicznego w zarządzaniu pamięcią podczas obsługi połączeń SSL VPN. Atak polega na wysyłaniu spreparowanych pakietów SSL/TLS do serwera SSL VPN.

Podatność w zaporze AnyConnect w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej listy kontroli dostępu (ACL) i przepuszczenie ruchu, który powinien być zablokowany. Podatność wynika z błędu logicznego podczas wypełniania grupowych ACL, gdy klient AnyConnect ustanawia nową sesję. Atakujący może wykorzystać tę podatność, nawiązując połączenie AnyConnect do urządzenia.

Wiele podatności w funkcji per-user-override w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej listy kontroli dostępu (ACL) i przepuszczenie ruchu, który powinien być zablokowany. Podatności wynikają z błędu logicznego podczas konstruowania i stosowania reguł per-user-override. Udany atak pozwala ominąć interfejsową ACL i uzyskać dostęp do zasobów, które powinny być chronione.

Wiele podatności w funkcji per-user-override w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej listy kontroli dostępu (ACL) i przepuszczenie ruchu, który powinien być zablokowany. Podatności wynikają z błędu logicznego podczas konstruowania i stosowania reguł per-user-override. Udany atak pozwala ominąć interfejsową ACL i uzyskać dostęp do zasobów, które powinny być chronione.

Podatność w kliencie SSL/TLS w oprogramowaniu Cisco ASA i FTD umożliwia uwierzytelnionemu zdalnemu atakującemu spowodowanie odmowy usługi (DoS) na urządzeniu. Problem wynika z nieprawidłowego zarządzania pamięcią podczas inicjowania połączeń SSL/TLS. Atak polega na zapewnieniu, że urządzenie połączy się z serwerem SSL/TLS używającym określonych parametrów szyfrowania.

Podatność w interfejsie usług webowych dla funkcji VPN w Cisco ASA i FTD pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS). Problem wynika z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atak polega na wysłaniu spreparowanego żądania HTTPS.

Podatność w bibliotece IPsec VPN w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt lub modyfikację danych w tunelu IPsec IKEv2 VPN. Problem wynika z nieprawidłowej implementacji szyfrów Galois/Counter Mode (GCM). Atakujący w pozycji man-in-the-middle może przechwycić wystarczającą liczbę zaszyfrowanych wiadomości i złamać szyfrowanie, co pozwala na deszyfrowanie, odczyt, modyfikację i ponowne szyfrowanie danych.

Podatność w handlerze wiadomości SSL/TLS w Cisco ASA i FTD pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS) na urządzeniu. Problem wynika z nieprawidłowego przetwarzania przychodzących pakietów SSL/TLS. Atak polega na wysłaniu spreparowanego pakietu SSL/TLS.

Podatność w zarządzaniu pamięcią w Cisco ASA i FTD pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami przy wysokich wskaźnikach połączeń. Atak polega na otwarciu znacznej liczby połączeń na urządzeniu.

Podatność w oprogramowaniu Cisco ASA i FTD w handlerze wiadomości SSL/TLS pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeładowanie urządzenia, powodując odmowę usługi (DoS). Problem wynika z niewystarczającej walidacji wiadomości SSL/TLS podczas odszyfrowywania w oprogramowaniu. Atak polega na wysłaniu spreparowanej wiadomości SSL/TLS.

Podatność w implementacji OSPFv2 w Cisco ASA i FTD pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeładowanie urządzenia, powodując odmowę usługi (DoS). Problem wynika z niepełnej walidacji danych wejściowych podczas przetwarzania pakietów OSPFv2 z danymi LLS. Atak polega na wysłaniu zniekształconego pakietu OSPFv2.

Podatność w przetwarzaniu pakietów ARP w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) dla urządzeń serii Firepower 2100 może pozwolić nieuwierzytelnionemu, sąsiadującemu atakującemu na spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowego przetwarzania pakietów ARP otrzymywanych przez interfejs zarządzania. Atak polega na wysłaniu serii unicastowych pakietów ARP w krótkim czasie, co może wyczerpać zasoby urządzenia i uniemożliwić wysyłanie keepalive, prowadząc do przeładowania.

Podatność w implementacji OSPF w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu, sąsiadującemu atakującemu spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z nieprawidłowego parsowania niektórych opcji w pakietach OSPF LSA typu 11. Atak polega na wysłaniu spreparowanego pakietu OSPF LSA typu 11 do urządzenia.