[TLP:CLEAR] Cisco Adaptive Security Appliance Software opravuje kritickou zranitelnost
Cisco opravuje kritickou zranitelnost v produktu Cisco Adaptive Security Appliance Software (ASA) [1]. Opravené verze lze získat na [2], kde je třeba na první stránce zadat typ a verzi produktu. Na další stránce je třeba vybrat všechna posouzení dopadů a všechna bezpečnostní doporučení. Na poslední stránce je nutné vybrat nejvyšší ze zobrazených opravených verzí a aktualizovat na ni postižené zařízení. V případě, že nelze provést aktualizaci, je pro zmírnění dopadů možné zranitelnost obejít povolením nativního SSH stacku a zakázáním CiscoSSH stacku příkazem 'no ssh stack ciscossh'. Aby se změna zachovala i po restartu, je nutné se znovu přihlásit a uložit konfiguraci. I když bylo řešení úspěšně otestováno, zákazníci by měli posoudit jeho vhodnost a dopad na výkon ve svém vlastním prostředí a při svých provozních podmínkách, protože může dojít k negativnímu vlivu na funkčnost sítě [1].
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu v SSH subsystému softwaru Cisco Adaptive Security Appliance (ASA) umožněno provádět příkazy operačního systému s právy root. Útočník může zranitelnost zneužít zasláním speciálně upraveného vstupu při provádění příkazů prostřednictvím SSH v CLI rozhraní [1].
Zranitelnost se nachází v produktu Cisco ASA ve verzích (=9.17.1) OR (=9.17.1.7) OR (=9.17.1.9) OR (=9.17.1.10) OR (=9.18.1) OR (=9.18.1.3) OR (=9.17.1.11) OR (=9.18.2) OR (=9.17.1.13) OR (=9.17.1.15) OR (=9.18.2.5) OR (=9.17.1.20) OR (=9.18.2.7) OR (=9.19.1) OR (=9.18.2.8) OR (=9.18.3) OR (=9.19.1.5) OR (=9.17.1.30) OR (=9.19.1.9) OR (=9.18.3.39) OR (=9.19.1.12) OR (=9.18.3.46) OR (=9.19.1.18) OR (=9.18.3.53) OR (=9.18.3.55) OR (=9.17.1.33) OR (=9.18.3.56).
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:X/RL:X/RC:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MPR:X/MUI:X/MS:X/MC:X/MI:X/MA:X
Více informací:
- CVE-2024-20329 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-146: Improper Neutralization of Expression/Command Delimiters at cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 10. 2024.
Odkazy
Publikovala Michaela Jarošová dne 25. 10. 2024.
