Érintett rendszerek
Adaptive Security Appliance (ASA)CISCO
Érintett verziók
CISCO Adaptive Security Appliance (ASA) 8.x
Összefoglaló
Néhány sérülékenységet és egy biztonsági problémát jelentettek a Cisco Adaptive Security Appliance-ban (ASA), amelyet a rosszindulatú támadók kihasználhatnak cross-site scripting és hamisításos támadások lefolytatásához.
Leírás
Néhány sérülékenységet és egy biztonsági problémát jelentettek a Cisco Adaptive Security Appliance-ban (ASA), amelyet a rosszindulatú támadók kihasználhatnak cross-site scripting és hamisításos támadások lefolytatásához.
- Weboldalak közt átadott bevitel nincs megfelelően megtisztítva mielőtt az eval() függvény meghívásra kerülne (VPN web portal). Ez kihasználható tetszőleges HTML és szkript kód futtatására a felhasználó böngészőjének munkamenetében, a WebVPN-nel kapcsolatban.
- A VPN web portálnak, ROT13 kódolású lekérdezési paraméteren keresztül átadott bevitel nincs megfelelően megtisztítva mielőtt használatra kerülne. Ez kihasználható tetszőleges HTML és szkript kód futtatására a felhasználó böngészőjének munkamenetében, a VPN web portállal kapcsolatban.
- Egy biztonsági probléma jelentkezik a Common Internet File System (CIFS) és FTP megosztások kezelésénél az SSL VPN szolgáltatásban. Ez kihasználható hamisításos támadások lefolytatásához, és a felhasználói azonosságot tanúsító adatok feltárásához, amennyiben a felhasználó követ egy speciálisan elkészített hivatkozást.
A sérülékenységek a 8.0.4(34), 8.1.2.(25) és 8.2.1(3) előtti verziókat érinti, amennyiben engedélyezve van a “Clientless SSL VPN” kapcsolatok elfogadása.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Other (Egyéb)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 35511
CVE-2009-1201 - NVD CVE-2009-1201
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Gyártói referencia: tools.cisco.com
Egyéb referencia: www.trustwave.com
CVE-2009-1202 - NVD CVE-2009-1202
CVE-2009-1203 - NVD CVE-2009-1203