CVE-2014-2120
Cisco Adaptive Security Appliance (ASA) Cross-Site Scripting (XSS) Vulnerability
Beschreibung
CVE-2014-2120 ist eine Cross-Site-Scripting-Schwachstelle (XSS) auf der WebVPN-Anmeldeseite der Cisco Adaptive Security Appliance (ASA) Software, die es einem entfernten Angreifer ermoeglicht, beliebiges Webscript oder HTML ueber einen nicht naeher spezifizierten Parameter einzuschleusen. Die Schwachstelle wird mit einem CVSS-Score von 6.1 (MEDIUM) bewertet und betrifft Cisco ASA Software.
Die CISA hat CVE-2014-2120 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-12-03. Der EPSS-Score von 63,87 % (98,4. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit an. Bemerkenswert ist, dass diese ueber zehn Jahre alte Schwachstelle immer noch aktiv ausgenutzt wird, was auf die Langlebigkeit ungepatchter Cisco-ASA-Installationen hinweist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Referenzen
- http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2014-2120(Broken Link, Vendor Advisory)
- http://www.securityfocus.com/bid/66290(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1029935(Broken Link, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-2120(US Government Resource)
Schwachstellentyp
CWE-79: Cross-Site Scripting (XSS)
CVE-2014-2120 basiert auf CWE-79 (Cross-Site Scripting). Die Schwachstelle liegt auf der WebVPN-Anmeldeseite der Cisco ASA, wo Benutzereingaben unzureichend bereinigt und in der HTML-Ausgabe reflektiert werden. Ein Angreifer kann dadurch boesartiges JavaScript oder HTML in die Seite einschleusen, das im Browser eines Opfers ausgefuehrt wird, wenn dieses einen speziell praeparierten Link oeffnet.
Da die Schwachstelle auf einer Anmeldeseite auftritt, ist sie besonders gefaehrlich fuer Phishing-Angriffe und den Diebstahl von Anmeldedaten.
Weitere Informationen: CWE-79 -- Cross-Site Scripting
Auswirkungsanalyse
Die Auswirkungen von CVE-2014-2120 sind im Kontext einer VPN-Anmeldeseite als ernsthaft einzustufen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N zeigt eine remote ausnutzbare Schwachstelle ohne Authentifizierung, die jedoch Benutzerinteraktion erfordert (Opfer muss einen manipulierten Link oeffnen). Vertraulichkeit (Niedrig): Durch eingeschleustes JavaScript koennen Session-Cookies gestohlen, Anmeldedaten abgefangen oder Informationen aus dem Browser-Kontext des Opfers extrahiert werden. Integritaet (Niedrig): Der Angreifer kann den Inhalt der WebVPN-Anmeldeseite manipulieren, um ueberzeugendere Phishing-Angriffe durchzufuehren oder das Opfer auf boesartige Seiten umzuleiten. Verfuegbarkeit (Keine): Die Systemverfuegbarkeit ist nicht betroffen. Die Scope-Aenderung (S:C) bedeutet, dass die Schwachstelle Auswirkungen ueber die WebVPN-Anmeldeseite hinaus haben kann, da sie den Browser des Opfers betrifft. Der EPSS-Score von 63,87 % (98,4. Perzentil) bestaetigt die anhaltend hohe Ausnutzung, trotz des Alters der Schwachstelle. WebVPN-Zugaenge sind haeufig oeffentlich erreichbar, was die Angriffsflaeche vergroessert.
Exploit-Reifegrad
CVE-2014-2120 weist trotz ihres Alters eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-03 in den KEV-Katalog aufgenommen, bemerkenswert fuer eine 2014 veroeffentlichte Schwachstelle. Der EPSS-Score von 63,87 % (98,4. Perzentil) zeigt eine weiterhin hohe Ausnutzungsaktivitaet an. Der Ransomware-Status ist als unbekannt klassifiziert. Die Schwachstelle ist unter der Cisco Bug ID CSCun19025 dokumentiert. Das urspruengliche Cisco Security Notice ist mittlerweile als Broken Link markiert. Die Tatsache, dass eine ueber zehn Jahre alte XSS-Schwachstelle immer noch aktiv ausgenutzt wird, verdeutlicht das Problem ungepatchter Legacy-Systeme im Bereich der Netzwerksicherheitsinfrastruktur.
Behebung
-
Cisco ASA Software aktualisieren: Aktualisieren Sie die Cisco ASA Software auf eine Version, die den Fix fuer CSCun19025 enthaelt. Konsultieren Sie den Cisco Security Center fuer die spezifischen gepatchten Versionen.
-
WebVPN-Anmeldeseite absichern: Wenn ein sofortiges Update nicht moeglich ist, erwaegen Sie die Deaktivierung des WebVPN-Portals oder die Einschraenkung des Zugriffs auf bekannte IP-Bereiche. Implementieren Sie zusaetzliche Schutzmassnahmen wie Content Security Policy (CSP) Header.
-
Benutzer sensibilisieren: Informieren Sie VPN-Benutzer ueber die Gefahr manipulierter Login-Links. Weisen Sie darauf hin, dass nur direkt eingegebene oder gespeicherte URLs fuer den VPN-Zugang verwendet werden sollten.
-
End-of-Life-Systeme ersetzen: Wenn Ihre Cisco ASA Firmware-Version das End-of-Life erreicht hat und keine Sicherheitsupdates mehr erhaelt, planen Sie die Migration auf eine aktuelle Hardware- und Software-Plattform.
-
Multi-Faktor-Authentifizierung implementieren: Selbst wenn die XSS-Schwachstelle zum Diebstahl von Anmeldedaten genutzt wird, verhindert MFA den unauthentifizierten Zugriff auf das VPN.
Technische Details
CVE-2014-2120 betrifft die Cisco Adaptive Security Appliance (ASA) Software und deren WebVPN-Anmeldeseite. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N beschreibt eine reflektierte XSS-Schwachstelle. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber HTTP/HTTPS-Anfragen an die WebVPN-Anmeldeseite erreichbar. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen erforderlich. Berechtigungen (Keine): Keine Authentifizierung erforderlich. Benutzerinteraktion (Erforderlich): Das Opfer muss einen vom Angreifer praeparierten Link oeffnen. Scope (Changed): Die Auswirkungen gehen ueber die verwundbare Komponente (WebVPN-Seite) hinaus und betreffen den Browser-Kontext des Opfers. Der Angriffsmechanismus nutzt eine unzureichende Eingabevalidierung auf der WebVPN-Anmeldeseite. Ein Angreifer erstellt einen manipulierten URL mit eingebettetem JavaScript-Code als Parameter. Wenn ein Opfer diesen Link oeffnet, wird der boesartige Code im Kontext der WebVPN-Anmeldeseite im Browser ausgefuehrt. Dies ermoeglicht den Diebstahl von Session-Cookies, die Manipulation der Anmeldeseite fuer Credential-Harvesting oder die Umleitung auf eine Phishing-Seite. Die genauen technischen Details des verwundbaren Parameters wurden von Cisco nicht veroeffentlicht (Bug ID CSCun19025).
Häufig gestellte Fragen
Warum wird eine 2014 veroeffentlichte Schwachstelle immer noch aktiv ausgenutzt?
Cisco ASA-Geraete werden haeufig ueber lange Zeitraeume ohne Firmware-Updates betrieben, insbesondere in kleineren Organisationen oder bei End-of-Life-Hardware. Die WebVPN-Funktionalitaet ist oft oeffentlich erreichbar, was eine grosse Angriffsflaeche bietet. Automatisierte Scanner und Exploit-Kits integrieren solche Schwachstellen dauerhaft.
Wie gefaehrlich ist eine XSS-Schwachstelle auf einer VPN-Anmeldeseite?
Eine XSS-Schwachstelle auf einer VPN-Anmeldeseite ist besonders gefaehrlich, da sie fuer Credential-Harvesting-Angriffe genutzt werden kann. Ein Angreifer kann die Anmeldeseite manipulieren, um Zugangsdaten abzufangen, was den vollstaendigen VPN-Zugang zum Unternehmensnetzwerk kompromittiert.
Welche Cisco ASA-Versionen sind betroffen?
Die spezifischen betroffenen Versionen wurden von Cisco unter der Bug ID CSCun19025 dokumentiert. Da die urspruenglichen Referenzen mittlerweile Broken Links sind, sollten Sie den Cisco TAC kontaktieren oder das Cisco Security Center konsultieren, um den Patch-Status Ihrer spezifischen ASA-Version zu pruefen.
Welche Sofortmassnahme wird empfohlen?
Die wichtigste Sofortmassnahme ist die Aktualisierung der Cisco ASA Software. Wenn ein sofortiges Update nicht moeglich ist, sollte der Zugriff auf die WebVPN-Anmeldeseite eingeschraenkt und Multi-Faktor-Authentifizierung implementiert werden, um die Auswirkungen eines moeglichen Credential-Diebstahls zu begrenzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.