情資內容

一、漏洞說明 Cisco Adaptive Security Appliance（ASA）軟體及Firepower Threat Defense（FTD）軟體的Web服務界面中的漏洞可能允許未經身份驗證的遠端攻擊者執行目錄穿越攻擊並讀取目標系統上的機敏檔案。該漏洞是由於具此漏洞設備於處理HTTP請求中的URL時，缺乏驗證輸入的正確性所致。攻擊者可以經由將包含目錄穿越字元序列的特製HTTP請求發送到具此漏洞的設備來利用此漏洞。攻擊者成功利用後，可在目標設備上查看Web服務檔案系統內的任意檔案。當具此漏洞的設備配置了WebVPN或AnyConnect功能時，將啟用Web服務檔案系統。此漏洞不能用於獲取對ASA或FTD系統檔案或底層操作系統（OS）檔案的存取權限。 二、已揭露攻擊程式碼說明 Cisco官方表示已發現有利用此漏洞之攻擊程式。 三、影響平台: (一)ASA軟體 1.各版本之已修正版本如下 9.6之前版本:因已停止支援，請升級至其他無漏洞的版本。 9.6: 9.6.4.42 9.7:因已停止支援，請升級至其他無漏洞的版本。 9.8:9.8.4.20 9.9:9.9.2.74 9.10:9.10.1.42 9.12:9.12.3.12 9.13:9.13.1.10 9.14:9.14.1.10 2.漏洞檢測指令 於命令列執行show running-config，檢核設定檔內是否有下列三項設定值任一項，如有，此漏洞即可被利用。  AnyConnect IKEv2 Remote Access: crypto ikev2 enable client-services port  AnyConnect SSL VPN: webvpn enable  Clientless SSL VPN: webvpn enable (二)FTD軟體 1.各版本之已修正版本如下 6.2.2之前版本:無此漏洞. 6.2.2: 請升級至其他無漏洞的版本. 6.2.3:6.2.3.16 6.3.0:升級至6.4.0.9 +Hot Fix或是升級至6.6.0.1 或6.3.0.5 + Hot Fix1 (August 2020) 或6.3.0.6 (Fall 2020) 6.4.0:6.4.0.9 + Hot Fix1 或6.4.0.10 (August 2020) 6.5.0:升級至6.6.0.1 或6.5.0.4 + Hot Fix1 (August 2020) 或6.5.0.5 (Fall 2020) 6.6.0:6.6.0.1 2.漏洞檢測指令 首先於命令列執行system support diagnostic-cli，接著於命令列執行show running-config，檢核設定檔內是否有下列二項設定值任一項，如有，此漏洞即可被利用。  AnyConnect IKEv2 Remote Access: crypto ikev2 enable client-services port  AnyConnect SSL VPN: webvpn enable 四、CVSS向量: CVE-2020-3452 使用版本：CVSS 3.0 分析分數：7.5 影響等級:3 參考來源 : Cisco 五、建議措施: 建議會員應針對此漏洞進行檢視及辦理風險評估，因目前已有攻擊行為，曝露於網際網路上的設備應儘速處理，目前Cisco已針對此漏洞釋出更新程式，請評估後於官方網站下載，於測試完成後更新至無漏洞版本 參考連結： 1.Cisco https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86 建議措施： 參考資料： 影響平台：