Cisco | 多个安全漏洞通告

  • A+
所属分类:安全漏洞

 

0x00 漏洞概述

2020年10月21日,Cisco发布安全公告,其多个产品中存在严重安全漏洞。此次发布的安全漏洞共计36个,其中20个漏洞为高危,16个为中危。

 

0x01 漏洞详情

 

Cisco | 多个安全漏洞通告


Cisco此次发布的安全漏洞中,涉及思科Firepower威胁防御(FTD)、Cisco Firepower机箱管理器(FCM)和自适应安全设备(ASA)的高危漏洞为17个,如下:

   

思科安全咨询/漏洞名称

CVE  ID

安全影响等级

基本分数

cisco-sa-asaftd-dos-QFcNEPfx

思科自适应安全设备软件和Firepower威胁防御软件拒绝服务漏洞

CVE-2020-3554

8.6

cisco-sa-asaftd-frag-memleak-mCtqdP9n
 思科自适应安全设备软件和Firepower威胁防御软件IP片段内存泄漏漏洞

CVE-2020-3373

8.6

cisco-sa-asaftd-ospflls-37Xy2q6r
 思科自适应安全设备软件和Firepower威胁防御软件OSPFv2链路本地信令拒绝服务漏洞

CVE-2020-3528

8.6

cisco-sa-asaftd-sslvpndma-dos-HRrqB9Yx
 思科自适应安全设备软件和Firepower威胁防御软件SSL VPN直接内存访问拒绝服务漏洞

CVE-2020-3529

8.6

cisco-sa-asa-ftd-tcp-dos-N3DMnU4T
 思科自适应安全设备软件和Firepower威胁防御软件SSL/TLS会话拒绝服务漏洞

CVE-2020-3572

8.6

cisco-sa-asaftd-webdos-fBzM5Ynw
 思科自适应安全设备软件和Firepower威胁防御软件Web服务拒绝服务漏洞

CVE-2020-3304

8.6

cisco-sa-asaftd-fileup-dos-zvC7wtys
 思科自适应安全设备软件和Firepower威胁防御软件Web服务文件上传拒绝服务漏洞

CVE-2020-3436

8.6

cisco-sa-ftd-ssl-dcrpt-dos-RYEkX4yy
 Cisco Firepower 2100系列SSL / TLS检查拒绝服务漏洞

CVE-2020-3562

8.6

cisco-sa-ftd-icmp-dos-hxxcycM
 Cisco Firepower 4110 ICMP Flood拒绝服务漏洞

CVE-2020-3571

8.6

cisco-sa-ftdfmc-dirtrav-NW8XcuSB
 思科Firepower管理中心软件和Firepower威胁防御软件目录遍历漏洞

CVE-2020-3550

8.1

cisco-sa-ftdfmc-sft-mitm-tc8AzFs2
 思科Firepower管理中心软件和Firepower威胁防御软件sftunnel通过散列漏洞

CVE-2020-3549

8.1

cisco-sa-fmc-cacauthbyp-NCLGZm3Q
 思科Firepower管理中心软件通用访问卡身份验证绕过漏洞

CVE-2020-3410

8.1

cisco-sa-ftdfmc-dos-NjYvDcLA
 思科Firepower管理中心软件拒绝服务漏洞

CVE-2020-3499

8.6

cisco-sa-ftd-inline-dos-nXqUyEqM
 思科Firepower威胁防御软件内联对/被动模式拒绝服务漏洞

CVE-2020-3577

7.4

cisco-sa-ftd-container-esc-FmYqFBQV
 思科Firepower威胁防御软件多实例容器转义漏洞

CVE-2020-3514

8.2

cisco-sa-ftd-snmp-dos-R8ENPbOs
 思科Firepower威胁防御软件SNMP拒绝服务漏洞

CVE-2020-3533

8.6

cisco-sa-ftd-tcp-dos-GDcZDqAf
 思科Firepower威胁防御软件TCP Flood拒绝服务漏洞

CVE-2020-3563

8.6

 

部分严重漏洞:

Cisco FXOS FCM跨站请求伪造漏洞(CVE-2020-3456)

此漏洞是Cisco  Firepower可扩展操作系统(FXOS)中Cisco Firepower机箱管理器(FCM)中的一个漏洞。它是由于FCM接口的CSRF保护不足。攻击者通告诱导目标用户单击恶意链接,从而进行跨站点请求伪造(CSRF)攻击。

成功利用此漏洞的攻击者能够发送任意请求,这些请求中可能包括未经目标用户授权的操作。

影响范围:

在non-appliance mode下的ASA设备中的Firepower 2100系列设备

Firepower4100系列设备

Firepower9300系列设备

 

Cisco FMC拒绝服务漏洞(CVE-2020-3499)

此漏洞是思科Firepower管理中心(FMC)许可服务中的漏洞,它是受影响的系统对资源值的不正确处理导致的。远程攻击者可利用此漏洞造成拒绝服务(DoS)。

攻击者可以通过向目标系统发送恶意请求来利用此漏洞。成功利用此漏洞可能使得受影响的系统不再响应。

影响范围:

使用连接许可的任何Cisco设备上运行的Cisco FMC。

 

Cisco FTD TCP Flood拒绝服务漏洞(CVE-2020-3563)

此漏洞是Cisco Firepower威胁防御(FTD)的数据包处理功能中的漏洞,它是内存管理效率低下造成的。远程攻击者可利用此漏洞造成拒绝服务(DoS)。

攻击者通过向受影响的设备上的特定端口发送大量TCP数据包来利用此漏洞。攻击者成功利用此漏洞可能使得系统内存耗尽,导致设备重新加载。

影响范围:

FTD6.2.3及之前版本

FTD6.3.0- FTD6.6.0

 

0x02处置建议

参考官方发布的修复建议及时升级至安全版本。

 

0x03 参考链接

https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities

https://tools.cisco.com/security/center/viewErp.x?alertId=ERP-74302&vs_f=Cisco%20Event%20

https://threatpost.com/cisco-dos-flaws-network-security-software/160414/

https://software.cisco.com/download/find

 

0x04 时间线

2020-10-21 Cisco发布安全通告

2020-10-22 VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/

 


 


本文始发于微信公众号(维他命安全):Cisco | 多个安全漏洞通告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: