CVE-2020-3259
Cisco ASA and FTD Information Disclosure Vulnerability
Beschreibung
CVE-2020-3259 ist eine Schwachstelle in der Webservice-Schnittstelle von Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software, die das Auslesen von Speicherinhalten ermoeglichen kann (CWE-200: Exposure of Sensitive Information to an Unauthorized Actor). Ein nicht authentifizierter, entfernter Angreifer kann durch das Senden eines manipulierten GET-Requests vertrauliche Informationen aus dem Arbeitsspeicher des Geraets abrufen. CVE-2020-3259 betrifft spezifische AnyConnect- und WebVPN-Konfigurationen. CISA hat die Schwachstelle in den Known Exploited Vulnerabilities Catalog aufgenommen, da sie nachweislich in Ransomware-Kampagnen ausgenutzt wurde. Mit einem EPSS-Score von 69,7 Prozent (98,6. Perzentile) besteht eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | secure firewall threat defense | >= 6.2.3, < 6.2.3.16; >= 6.3.0, < 6.3.0.6; >= 6.4.0, < 6.4.0.9; >= 6.5.0, < 6.5.0.5 |
| cisco | adaptive security appliance software | >= 9.8, < 9.8.4.20; >= 9.9, < 9.9.2.67; >= 9.10, < 9.10.1.40; >= 9.12, < 9.12.3.9; >= 9.13, < 9.13.1.10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-200: Exposure of Sensitive Information to an Unauthorized Actor
CWE-200 beschreibt eine Schwachstelle, bei der ein System vertrauliche Informationen an einen nicht autorisierten Akteur preisgibt. Im Kontext von CVE-2020-3259 gibt die Webservice-Schnittstelle der Cisco ASA- und FTD-Software beim Verarbeiten ungueltig formatierter URLs Speicherinhalte preis, was zur Offenlegung sensibler Daten wie Anmeldeinformationen oder Konfigurationsdaten fuehren kann.
Weitere Informationen: CWE-200 — Exposure of Sensitive Information to an Unauthorized Actor
Auswirkungsanalyse
CVE-2020-3259 ist aus der Ferne ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar (Attack Vector: Network, Privileges Required: None, User Interaction: None), was die Angriffsschwelle erheblich senkt. Die Schwachstelle beeintraechtigt ausschliesslich die Vertraulichkeit (Confidentiality: High), waehrend Integritaet und Verfuegbarkeit unveraendert bleiben – ein Angreifer kann jedoch sensible Daten wie Konfigurationsinformationen, Anmeldedaten oder Sitzungstoken aus dem Speicher des betroffenen Geraets auslesen. Mit einem CVSS-Score von 7.5 (HIGH) ist die Schwachstelle als ernsthaft einzustufen. Der EPSS-Score von 69,7 Prozent (98,6. Perzentile) und der dokumentierte Einsatz in Ransomware-Kampagnen unterstreichen die Dringlichkeit, da ausglesene Zugangsdaten in weiteren Angriffsphasen genutzt werden koennen.
Exploit-Reifegrad
CVE-2020-3259 wird aktiv in der Wildnis ausgenutzt – CISA hat dies bestaetigt und die Schwachstelle in den Known Exploited Vulnerabilities Catalog aufgenommen, mit einer Behebungsfrist bis zum 7. Maerz 2024. Die Schwachstelle ist nachweislich mit Ransomware-Kampagnen verbunden. Oeffentlich verlinkte Exploit-Code-Quellen sind in den vorliegenden Referenzen nicht verzeichnet. Der EPSS-Score von 69,7 Prozent (98,6. Perzentile) zeigt jedoch, dass eine weitverbreitete aktive Ausnutzung sehr wahrscheinlich ist und sofortiger Handlungsbedarf besteht.
Behebung
- Wenden Sie die verfuegbaren Cisco-Sicherheitsupdates gemaess den Herstelleranweisungen an oder stellen Sie den Einsatz des Produkts ein, wenn keine Abhilfemassnahmen verfuegbar sind (CISA KEV-Pflichtmassnahme, Frist: 7. Maerz 2024).
- Beziehen Sie den aktuellen Patch aus dem Cisco Security Advisory (cisco-sa-asaftd-info-disclose-9eJtycMB) und installieren Sie diesen auf allen betroffenen Cisco ASA- und FTD-Geraeten.
- Deaktivieren Sie WebVPN und AnyConnect auf Geraeten, die diese Funktionen nicht benoetigen, um die Angriffsflaece zu reduzieren – die Schwachstelle betrifft ausschliesslich spezifische AnyConnect- und WebVPN-Konfigurationen.
- Ueberwachen Sie Systemlogs und Netzwerkverkehr auf ungewoehnliche GET-Anfragen an die Webservice-Schnittstelle; prueefen Sie, ob sensible Daten wie Konfigurationen oder Zugangsdaten kompromittiert wurden.
- Ersetzen Sie potenziell ausgespaehtete Zugangsdaten und rotieren Sie alle Secrets (VPN-Credentials, API-Keys, Zertifikate), falls ein Angriff nicht ausgeschlossen werden kann.
Technische Details
CVE-2020-3259 beruht auf einem Fehler beim Buffer-Tracking in der Webservice-Schnittstelle von Cisco ASA und FTD Software, der auftritt, wenn das System ungueltige URLs verarbeitet. Ein Angreifer kann durch Senden eines praeparierten GET-Requests gezielt Speicherinhalte auslesen, die vertrauliche Daten enthalten koennen (CWE-200). Das CVSS-Vektormuster CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion aus der Ferne ausnutzbar ist, jedoch nur die Vertraulichkeit beeintraechtigt. Die Schwachstelle betrifft ausschliesslich Geraete mit aktiver AnyConnect- oder WebVPN-Konfiguration, was die Angriffsoberflaeche einschraenkt, aber aufgrund der Verbreitung dieser Konfigurationen in Unternehmensumgebungen eine erhebliche Bedrohung darstellt.
Häufig gestellte Fragen
Wird CVE-2020-3259 aktiv ausgenutzt?
Ja. CISA hat CVE-2020-3259 mit einer Behebungsfrist bis zum 7. Maerz 2024 in den Known Exploited Vulnerabilities Catalog aufgenommen, und die Schwachstelle ist nachweislich in Ransomware-Kampagnen im Einsatz. Der EPSS-Score von 69,7 Prozent (98,6. Perzentile) bestaetigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2020-3259 betroffen?
Betroffen sind Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software in spezifischen AnyConnect- und WebVPN-Konfigurationen. Geraete ohne AnyConnect oder WebVPN sind nicht anfaellig.
Wie behebe ich CVE-2020-3259?
Installieren Sie den im Cisco Security Advisory (cisco-sa-asaftd-info-disclose-9eJtycMB) beschriebenen Patch auf allen betroffenen Geraeten. Deaktivieren Sie WebVPN und AnyConnect auf nicht benoetigendem Geraet als Interim-Massnahme und rotieren Sie potenziell kompromittierte Zugangsdaten.
Wie schwerwiegend ist CVE-2020-3259?
CVE-2020-3259 hat einen CVSS-Score von 7.5 (HIGH) und einen EPSS-Score von 69,7 Prozent (98,6. Perzentile). Der nachgewiesene Einsatz in Ransomware-Kampagnen und die CISA-KEV-Einstufung erhoehen das reale Risiko deutlich ueber den formalen CVSS-Score hinaus.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.