CVE-2024-20337

Cisco Secure Client sérülékenysége
Angol cím: Cisco Secure Client vulnerability

Publikálás dátuma: 2024.03.06.
Utolsó módosítás dátuma: 2024.03.07.


Leírás

A program CRLF-t használ speciális elemként (pl. sorszeparálás) de nem, vagy nem megfelelően semlegesíti a CRLF szekvenciákat a bemeneten.

Leírás forrása: CWE-93


Elemzés leírás

Eredeti nyelven: A vulnerability in the SAML authentication process of Cisco Secure Client could allow an unauthenticated, remote attacker to conduct a carriage return line feed (CRLF) injection attack against a user. This vulnerability is due to insufficient validation of user-supplied input. An attacker could exploit this vulnerability by persuading a user to click a crafted link while establishing a VPN session. A successful exploit could allow the attacker to execute arbitrary script code in the browser or access sensitive, browser-based information, including a valid SAML token. The attacker could then use the token to establish a remote access VPN session with the privileges of the affected user. Individual hosts and services behind the VPN headend would still need additional credentials for successful access.

Elemzés leírás forrása: CVE-2024-20337


Hatás

CVSS3.1 Súlyosság és Metrika

Alap pontszám: 8.2 (Magas)
Vektor: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N
Hatás pontszáma: 4.7
Kihasználhatóság pontszáma: 2.8


Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Szükséges
Hatókör (S): Változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Alacsony
Rendelkezésre állás Hatása (A): Nincs

Következmények

Loss of availability (Elérhetőség elvesztése)
Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)

Hivatkozások

cisco.com

Sérülékeny szoftverek

Secure Client for Linux
Secure Client for macOS
Secure Client for Windows

Címkék

CISCO


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-24228 – Apple sebezhetősége
CVE-2025-24097 – Apple sebezhetősége
CVE-2024-20440 – Cisco Smart Licensing Utility sebezhezősége
CVE-2025-1268 – Canon sebezhetősége
CVE-2025-2783 – Google Chromium Mojo Sandbox Escape sebezhetősége
CVE-2024-20439 – Cisco Smart Licensing Utility Static Credential sebezhetősége
CVE-2025-22228 – Spring Security BCryptPasswordEncoder sebezhetősége
CVE-2025-26630 – Microsoft Access RCE sebezhetősége
CVE-2025-30154 – reviewdog/action-setup GitHub Action Embedded Malicious Code sebezhetősége
Tovább a sérülékenységekhez »