Cisco ASA WebVPN sérülékenységek

CH azonosító

CH-2287

Felfedezés dátuma

2009.06.25.

Súlyosság

Alacsony

Érintett rendszerek

Adaptive Security Appliance (ASA)
CISCO

Érintett verziók

CISCO Adaptive Security Appliance (ASA) 8.x

Összefoglaló

Néhány sérülékenységet és egy biztonsági problémát jelentettek a Cisco Adaptive Security Appliance-ban (ASA), amelyet a rosszindulatú támadók kihasználhatnak cross-site scripting és hamisításos támadások lefolytatásához.

Leírás

Néhány sérülékenységet és egy biztonsági problémát jelentettek a Cisco Adaptive Security Appliance-ban (ASA), amelyet a rosszindulatú támadók kihasználhatnak cross-site scripting és hamisításos támadások lefolytatásához.

  1. Weboldalak közt átadott bevitel nincs megfelelően megtisztítva mielőtt az eval() függvény meghívásra kerülne (VPN web portal). Ez kihasználható tetszőleges HTML és szkript kód futtatására a felhasználó böngészőjének munkamenetében, a WebVPN-nel kapcsolatban.
  2. A VPN web portálnak, ROT13 kódolású lekérdezési paraméteren keresztül átadott bevitel nincs megfelelően megtisztítva mielőtt használatra kerülne. Ez kihasználható tetszőleges HTML és szkript kód futtatására a felhasználó böngészőjének munkamenetében, a VPN web portállal kapcsolatban.
  3. Egy biztonsági probléma jelentkezik a Common Internet File System (CIFS) és FTP megosztások kezelésénél az SSL VPN szolgáltatásban. Ez kihasználható hamisításos támadások lefolytatásához, és a felhasználói azonosságot tanúsító adatok feltárásához, amennyiben a felhasználó követ egy speciálisan elkészített hivatkozást.

A sérülékenységek a 8.0.4(34), 8.1.2.(25) és 8.2.1(3) előtti verziókat érinti, amennyiben engedélyezve van a “Clientless SSL VPN” kapcsolatok elfogadása.

Megoldás

Frissítsen a legújabb verzióra

Hivatkozások

SECUNIA 35511
CVE-2009-1201 - NVD CVE-2009-1201
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Egyéb referencia: www.trustwave.com
CVE-2009-1202 - NVD CVE-2009-1202
CVE-2009-1203 - NVD CVE-2009-1203


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-9968 – ASUS Armoury Crate sérülékenysége
CVE-2025-9337 – ASUS Armoury Crate sérülékenysége
CVE-2025-9336 – ASUS Armoury Crate sérülékenysége
CVE-2025-47827 – IGEL OS Use of a Key Past its Expiration Date sérülékenysége
CVE-2025-24990 – Microsoft Windows Untrusted Pointer Dereference sérülékenysége
CVE-2025-59230 – Microsoft Windows Improper Access Control sérülékenysége
CVE-2025-6264 – Rapid7 Velociraptor Incorrect Default Permissions sérülékenysége
CVE-2016-7836 – SKYSEA Client View Improper Authentication sérülékenysége
CVE-2025-7330 – Rockwell NAT CSRF sérülékenysége
Tovább a sérülékenységekhez »