高危保安警报 (A20-07-08): Cisco 产品多个漏洞

描述:

Cisco发布了安全公告以应对发现于 Cisco Adaptive Security Appliance (ASA) Software 和 Cisco Firepower Threat Defense (FTD) Software，以及于 Treck IP 堆叠推行中的多个漏洞。攻击者可以通过向已配置 WebVPN 或 AnyConnect 要素的受影响装置发出包含目录遍历字符序列的特制 HTTP 请求，从而攻击在 ASA 及 FTD Software 的漏洞。未通过认证的远端攻击者可以通过使用特制的网络封包，，从而攻击有Treck IP 堆叠推行的 Cisco 产品的漏洞。

针对该漏洞(CVE-2020-3452)的概念验证并完全可行的程式码已在互联网被公开。系统管理员应立即为受影响的系统安装修补程式，以减低受到网络攻击的风险。

受影响的系统:

• Cisco 运行 Cisco Adaptive Security Appliance (ASA) Software 或 Cisco Firepower Threat Defense (FTD) Software 的产品
• Cisco ASR 5000
• Cisco ASR 5500
• Cisco Virtual Packet Core

有关受影响产品的详细资料，请参阅供应商网站的相应安全公告中有关“Affected Products”的部分。

影响:

成功利用这些漏洞可以在受影响的系统上导致远端执行程式码、泄漏资讯或服务受阻断，视乎攻击者利用哪个漏洞而定。

建议:

适用于受影响系统的软件更新已可获取。受影响系统的系统管理员应遵从产品供应商的建议，立即采取行动以降低风险。有关修补程式的详细资料，请参阅供应商网站的相应安全公告中有关 “Fixed Software” 的部分。

系统管理员可联络其产品支援供应商，以取得修补程式及有关支援。

进一步信息:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-treck-ip-stack-JyBQ5GyC
https://www.hkcert.org/my_url/en/alert/20072401
https://www.hkcert.org/my_url/zh/alert/20072101
https://us-cert.cisa.gov/ncas/current-activity/2020/07/23/cisco-releases-security-updates-asa-and-ftd-software
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-3452
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11896 (to CVE-2020-11914)