CVE-2020-3452
Cisco ASA and FTD Read-Only Path Traversal Vulnerability
Beschreibung
CVE-2020-3452 ist eine schwerwiegende Path-Traversal-Schwachstelle (nur lesend) in Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software mit einem CVSS-3.1-Score von 7.5. Die Schwachstelle ermöglicht einem nicht authentifizierten, entfernten Angreifer, Directory-Traversal-Angriffe durchzuführen und sensible Dateien im Web-Services-Dateisystem auf Zielgeräten zu lesen, die mit WebVPN oder AnyConnect konfiguriert sind. Betroffene Produkte umfassen Cisco ASA Software (mehrere Versionsbereiche von 9.6 bis 9.14) und Cisco FTD Software (mehrere Versionsbereiche von 6.2.3 bis 6.6.0). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.94437 (99,99. Perzentile) belegt eine extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | >= 9.6, < 9.6.4.42; >= 9.8, < 9.8.4.20; >= 9.9, < 9.9.2.74; >= 9.10, < 9.10.1.42; >= 9.12, < 9.12.3.12; >= 9.13, < 9.13.1.10; >= 9.14, < 9.14.1.10 |
| cisco | secure firewall threat defense | >= 6.2.3, < 6.2.3.16; >= 6.3.0, < 6.3.0.6; >= 6.4.0, < 6.4.0.10; >= 6.5.0, < 6.5.0.5; >= 6.6.0, < 6.6.0.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/158646/Cisco-ASA-FTD-Remote-File-Disclosure.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158647/Cisco-Adaptive-Security-Appliance-Software-9.11-Local-File-Inclusion.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/159523/Cisco-ASA-FTD-9.6.4.42-Path-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/160497/Cisco-ASA-9.14.1.10-FTD-6.6.0.1-Path-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3452(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
CVE-2020-3452 wird unter CWE-22 klassifiziert — Path Traversal und CWE-20 — Unsachgemäße Eingabevalidierung. Path Traversal tritt auf, wenn Software externe Eingaben verwendet, um einen Pfadnamen zu konstruieren, der innerhalb eines eingeschränkten Verzeichnisses liegen sollte, aber Elemente wie ".." nicht ordnungsgemäß neutralisiert, die dazu führen können, dass der Pfad außerhalb dieses Verzeichnisses aufgelöst wird.
Im Kontext von Cisco ASA und FTD ermöglicht diese Schwachstelle nicht authentifizierten Angreifern, beliebige Dateien im Web-Services-Dateisystem zu lesen, indem sie manipulierte HTTP-Anfragen mit Directory-Traversal-Sequenzen senden. Die Schwachstelle ist auf das Web-Services-Dateisystem beschränkt und kann nicht auf ASA/FTD-Systemdateien oder das zugrunde liegende Betriebssystem zugreifen.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermöglicht Angreifern das Lesen sensibler Dateien im Web-Services-Dateisystem, was VPN-Konfigurationsdetails, Sitzungstokens, Lesezeichen und andere sensible Informationen offenlegen kann.
Integrität (NONE): Dies ist eine reine Lese-Schwachstelle. Angreifer können keine Dateien oder Systemkonfigurationen über diesen Exploit-Pfad ändern.
Verfügbarkeit (NONE): Die Schwachstelle ermöglicht keine Denial-of-Service-Angriffe und beeinträchtigt die Systemverfügbarkeit nicht.
Scope: Der Scope ist Unchanged (U), was bedeutet, dass die Auswirkungen auf das Web-Services-Dateisystem des betroffenen Cisco ASA- oder FTD-Geräts beschränkt sind.
Mit einem EPSS-Score von 0.94437 (99,99. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten. Trotz der reinen Lesebeschränkung können die offengelegten Daten laterale Bewegung und weitere Kompromittierung des Netzwerks ermöglichen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-3452 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Mehrere öffentliche Exploits und Proof-of-Concept-Code sind weit verbreitet. Die triviale Natur des Exploits — eine einfache manipulierte HTTP-Anfrage — ermöglicht praktisch jedem Angreifer einen Ausnutzungsversuch.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Die durch Ausnutzung offengelegten Informationen können jedoch als Sprungbrett für schwerwiegendere Angriffe dienen, einschließlich Credential-Diebstahl und Netzwerk-Kompromittierung.
Angriffsfläche: Cisco ASA- und FTD-Geräte, die mit WebVPN oder AnyConnect konfiguriert und dem Internet ausgesetzt sind, sind direkt verwundbar. Diese Geräte dienen häufig als Netzwerk-Perimeter-Sicherheitsappliances und sind daher hochwertige Ziele.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen mit betroffenen ASA- oder FTD-Versionen sollten das Patching umgehend priorisieren.
Behebung
- Cisco-Sicherheitspatches umgehend anwenden. Aktualisieren Sie Cisco ASA Software und FTD Software auf die behobenen Versionen gemäß Cisco Security Advisory cisco-sa-asaftd-ro-path-KJuQhB86.
- Alle betroffenen ASA- und FTD-Geräte identifizieren. Inventarisieren Sie alle Cisco ASA- und FTD-Geräte, insbesondere solche mit WebVPN- oder AnyConnect-Konfiguration. Überprüfen Sie die laufenden Softwareversionen gegen die betroffenen Versionsbereiche.
- Web-Services-Zugriff einschränken. Falls sofortiges Patching nicht möglich ist, beschränken Sie den Zugriff auf die ASA/FTD-Web-Services-Schnittstelle auf vertrauenswürdige Managementnetzwerke. Deaktivieren Sie WebVPN oder AnyConnect auf Geräten, wo sie nicht benötigt werden.
- Auf Ausnutzungsversuche überwachen. Überprüfen Sie Web-Server-Logs auf betroffenen Geräten auf HTTP-Anfragen mit Directory-Traversal-Sequenzen. Aktivieren Sie erweiterte Protokollierung.
- Potenzielle Datenexposition bewerten. Falls Ausnutzung stattgefunden haben könnte, bewerten Sie, welche Daten im Web-Services-Dateisystem exponiert wurden. Rotieren Sie potenziell kompromittierte Zugangsdaten und Sitzungstokens.
- IDS/IPS-Signaturen aktualisieren. Stellen Sie sicher, dass Netzwerk-IDS/IPS-Systeme aktuelle Signaturen zur Erkennung von Path-Traversal-Versuchen haben.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert in der Web-Services-Schnittstelle von Cisco ASA und FTD Software aufgrund unzureichender Eingabevalidierung von URLs in HTTP-Anfragen. Wenn ein betroffenes Gerät mit WebVPN oder AnyConnect konfiguriert ist, bereinigt die Web-Services-Schnittstelle Directory-Traversal-Zeichensequenzen in eingehenden HTTP-Anfragen nicht ordnungsgemäß. Ein Angreifer kann speziell gestaltete HTTP-Anfragen mit codierten Traversal-Sequenzen senden, um Dateien außerhalb des vorgesehenen Web-Root-Verzeichnisses zu lesen.
Einschränkungen: Die Schwachstelle ist auf das Web-Services-Dateisystem beschränkt und kann nicht zum Zugriff auf ASA/FTD-Systemdateien oder das zugrunde liegende Betriebssystem verwendet werden. Exponierte Inhalte können WebVPN-Konfiguration, Portal-Anpassungsdaten, Lesezeichen, Web-Cookies und teilweisen Web-Content umfassen.
Betroffene Konfigurationen: Nur Geräte mit aktiviertem WebVPN oder AnyConnect sind verwundbar.
CVSS-3.1-Bewertung: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N reflektiert einen netzwerkbasierten Angriff mit niedriger Komplexität, ohne erforderliche Berechtigungen, ohne Benutzerinteraktion, hohem Vertraulichkeitseinfluss, aber keinem Integritäts- oder Verfügbarkeitseinfluss.
Häufig gestellte Fragen
Wird CVE-2020-3452 aktiv ausgenutzt?
Ja, CVE-2020-3452 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet und weist einen EPSS-Score von 0.94437 (99,99. Perzentile) auf. Mehrere öffentliche Exploits sind verfügbar, was die Einstiegshürde für Ausnutzung sehr niedrig macht.
Welche Produkte sind von CVE-2020-3452 betroffen?
Cisco ASA Software Versionen 9.6 bis 9.14 und Cisco FTD Software Versionen 6.2.3 bis 6.6.0 sind betroffen, jedoch nur bei Konfiguration mit WebVPN oder AnyConnect. Spezifische behobene Versionen variieren je nach Release-Train — konsultieren Sie Ciscos Security Advisory für detaillierte Versionsinformationen.
Wie behebe ich CVE-2020-3452?
Wenden Sie die von Cisco bereitgestellten Sicherheitspatches an, wie im Advisory cisco-sa-asaftd-ro-path-KJuQhB86 beschrieben. Falls sofortiges Patching nicht möglich ist, beschränken Sie den Zugriff auf die Web-Services-Schnittstelle und deaktivieren Sie WebVPN oder AnyConnect, wo nicht erforderlich.
Wie schwerwiegend ist CVE-2020-3452?
CVE-2020-3452 ist mit einem CVSS-Score von 7.5 als HOCH eingestuft. Obwohl es sich um eine reine Lese-Path-Traversal handelt, macht die Möglichkeit, sensible Konfigurationsdaten auf kritischen Netzwerksicherheitsappliances auszulesen, dies zu einer hochprioritären Schwachstelle. Der EPSS-Score von 0.94437 platziert sie in der 99,99. Perzentile.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.