CVE-2020-3452
Açıklama
Cisco Adaptive Security Appliance (ASA) Software ve Cisco Firepower Threat Defense (FTD) Software'in web servisleri arayüzündeki bir güvenlik açığı, kimliği doğrulanmamış uzak bir saldırganın dizin gezginliği (directory traversal) saldırıları gerçekleştirmesine ve hedef sistemdeki hassas dosyaları okumasına izin verebilir. Güvenlik açığı, etkilenen cihaz tarafından işlenen HTTP isteklerindeki URL'lerin uygun şekilde girdi doğrulamasına tabi tutulmamasından kaynaklanmaktadır. Bir saldırgan, etkilenen cihaza dizin gezginliği karakter dizileri içeren özel olarak hazırlanmış bir HTTP isteği göndererek bu güvenlik açığını istismar edebilir. Başarılı bir istismar, saldırganın hedef cihazdaki web servisleri dosya sistemi içindeki rastgele dosyaları görüntülemesine olanak tanıyabilir. Web servisleri dosya sistemi, etkilenen cihaz WebVPN veya AnyConnect özelliklerinden herhangi biriyle yapılandırıldığında etkinleştirilir. Bu güvenlik açığı; ASA veya FTD sistem dosyalarına ya da temel işletim sistemi (OS) dosyalarına erişim sağlamak için kullanılamaz.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 3 May 2022- cisco adaptive_security_appliance_software9.6.4.42, 9.8.4.20, 9.9.2.74, 9.10.1.42, 9.12.3.12, 9.13.1.10, 9.14.1.10 ya da sonraki bir sürüm
- cisco secure_firewall_threat_defense6.2.3.16, 6.3.0.6, 6.4.0.10, 6.5.0.5, 6.6.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cisco adaptive_security_appliance_software | 9.6 ≤ v < 9.6.4.42, 9.8 ≤ v < 9.8.4.20, 9.9 ≤ v < 9.9.2.74, 9.10 ≤ v < 9.10.1.42, 9.12 ≤ v < 9.12.3.12, 9.13 ≤ v < 9.13.1.10, 9.14 ≤ v < 9.14.1.10 | 9.6.4.42, 9.8.4.20, 9.9.2.74, 9.10.1.42, 9.12.3.12, 9.13.1.10, 9.14.1.10 |
| cisco secure_firewall_threat_defense | 6.2.3 ≤ v < 6.2.3.16, 6.3.0 ≤ v < 6.3.0.6, 6.4.0 ≤ v < 6.4.0.10, 6.5.0 ≤ v < 6.5.0.5, 6.6.0 ≤ v < 6.6.0.1 | 6.2.3.16, 6.3.0.6, 6.4.0.10, 6.5.0.5, 6.6.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.