CVE-2020-3580
Cisco ASA and FTD Cross-Site Scripting (XSS) Vulnerability
Beschreibung
CVE-2020-3580 ist eine mittelschwere Cross-Site-Scripting-Schwachstelle (XSS) in Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software mit einem CVSS-3.1-Score von 6.1. Die Web-Services-Schnittstelle betroffener Geräte enthält unzureichende Eingabevalidierung, die einem nicht authentifizierten, entfernten Angreifer ermöglicht, beliebigen Skript-Code im Kontext der Schnittstelle auszuführen oder auf sensible browserbasierte Informationen zuzugreifen, indem ein Benutzer zum Klicken eines manipulierten Links verleitet wird. Betroffene Produkte umfassen Cisco ASA Software und Cisco FTD Software in mehreren Versionsbereichen. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.91814 (99,69. Perzentile) bestätigt hohe reale Ausnutzungsaktivität.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | secure firewall threat defense | < 6.4.0.12; >= 6.5.0, < 6.6.4; >= 6.7.0, < 6.7.0.2 |
| cisco | adaptive security appliance software | < 9.8.4.34; >= 9.9, < 9.9.2.85; >= 9.10, < 9.12.4.13; >= 9.13, < 9.13.1.21; >= 9.14, < 9.14.2.8; >= 9.15, < 9.15.1.15 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Referenzen
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-xss-multiple-FCB3vPZe(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3580(US Government Resource)
Schwachstellentyp
CWE-79: Unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung ('Cross-site Scripting')
CVE-2020-3580 wird unter CWE-79 klassifiziert — Cross-site Scripting (XSS). Cross-site Scripting tritt auf, wenn eine Webanwendung nicht vertrauenswürdige Daten ohne ordnungsgemäße Validierung, Codierung oder Escaping in ihre Ausgabe einbindet, wodurch ein Angreifer schädliche Skripte im Kontext der Browser-Sitzung eines anderen Benutzers ausführen kann.
Im Kontext der Cisco ASA und FTD Web-Services-Schnittstellen ist diese Schwachstellenklasse besonders besorgniserregend, da diese Geräte als kritische Netzwerksicherheitsinfrastruktur dienen. Erfolgreiche XSS-Ausnutzung gegen Administratoren dieser Geräte könnte einem Angreifer ermöglichen, Sitzungstokens zu stehlen, Firewall-Konfigurationen zu ändern oder Einblicke in Netzwerktopologie und VPN-Zugriffskontrollen zu erlangen.
Mehr erfahren: CWE-79 — Unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung
Auswirkungsanalyse
Vertraulichkeit (LOW): Erfolgreiche Ausnutzung ermöglicht eingeschränkten Zugriff auf sensible browserbasierte Informationen, einschließlich Sitzungscookies, Authentifizierungstokens und in der Web-Services-Schnittstelle angezeigte Daten.
Integrität (LOW): Angreifer können beliebige Skripte im Kontext der betroffenen Web-Services-Schnittstelle injizieren und ausführen, was die Modifikation angezeigter Inhalte oder die Durchführung nicht autorisierter Aktionen im Namen des Opfers ermöglicht.
Verfügbarkeit (NONE): Die Schwachstelle beeinträchtigt die Systemverfügbarkeit nicht direkt.
Scope: Der Scope ist Changed (C), was bedeutet, dass die Schwachstelle in der Web-Services-Schnittstelle Ressourcen über die verwundbare Komponente hinaus beeinflussen kann, insbesondere den Browser des Benutzers und zugehörige Sitzungsdaten.
Trotz der MEDIUM-CVSS-Bewertung zeigen der EPSS-Score von 0.91814 (99,69. Perzentile) und die KEV-Listung, dass diese Schwachstelle in realen Angriffen stark gezielt wird, wahrscheinlich aufgrund des hohen Werts administrativer Cisco ASA/FTD-Sitzungen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-3580 wird aktiv ausgenutzt, mit öffentlich verfügbarem Proof-of-Concept-Code. Sicherheitsforscher haben die Ausnutzung über manipulierte URLs demonstriert, die Skriptausführung auslösen, wenn authentifizierte Benutzer der ASA/FTD-Weboberfläche darauf klicken.
Ransomware-Bezug: CVE-2020-3580 ist laut KEV-Daten mit Ransomware-Kampagnen assoziiert. XSS-Schwachstellen auf Netzwerksicherheitsappliances bieten einen Weg zum administrativen Zugang, der für umfassendere Netzwerk-Kompromittierung und Ransomware-Deployment genutzt werden kann.
Angriffsfläche: Der Angriff erfordert Benutzerinteraktion — ein Opfer muss auf einen schädlichen Link klicken. Gezielte Phishing-Kampagnen gegen Netzwerkadministratoren sind jedoch ein bewährter und effektiver Angriffsvektor.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Der bestätigte Ransomware-Bezug erhöht die Dringlichkeit für alle Organisationen.
Behebung
- Cisco-Sicherheitspatches umgehend anwenden. Aktualisieren Sie Cisco ASA und FTD Software auf behobene Versionen gemäß Cisco Security Advisory cisco-sa-asaftd-xss-multiple-FCB3vPZe.
- Betroffene Gerätekonfigurationen identifizieren. Überprüfen Sie, welche ASA- und FTD-Geräte mit AnyConnect oder WebVPN konfiguriert sind, da nur diese Konfigurationen betroffen sind.
- Zugriff auf Web-Services-Schnittstellen einschränken. Beschränken Sie den Zugriff auf ASA/FTD-Management- und Web-Services-Schnittstellen auf vertrauenswürdige interne Netzwerke.
- Sicherheitsbewusstsein für Administratoren stärken. Schulen Sie Netzwerkadministratoren über das Risiko des Klickens auf Links aus nicht vertrauenswürdigen Quellen.
- Web Application Firewall-Regeln implementieren. Setzen Sie WAF-Regeln ein, um XSS-Payloads gegen die ASA/FTD-Webschnittstelle zu erkennen und zu blockieren.
- Auf verdächtige Aktivitäten überwachen. Überprüfen Sie Zugriffsprotokolle der Web-Services-Schnittstelle auf ungewöhnliche Zugriffsmuster.
- Sitzungssicherheit validieren. Rotieren Sie administrative Sitzungstokens und Zugangsdaten für betroffene Geräte.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Web-Services-Schnittstelle betroffener Cisco ASA- und FTD-Geräte validiert benutzergesteuerte Eingaben nicht ordnungsgemäß, bevor sie in HTTP-Antworten eingebunden werden. Dies ermöglicht einem Angreifer, URLs mit schädlichem JavaScript zu konstruieren, das bei Klick durch einen authentifizierten Benutzer im Kontext der Web-Services-Schnittstelle ausgeführt wird.
Betroffene Konfigurationen: Die Schwachstelle betrifft nur spezifische AnyConnect- und WebVPN-Konfigurationen. Geräte ohne diese Funktionen sind nicht verwundbar.
Angriffsszenario: Ein Angreifer erstellt eine URL mit XSS-Payload, die auf die ASA/FTD-Webschnittstelle abzielt. Über Phishing wird ein Netzwerkadministrator zum Klicken verleitet. Das schädliche Skript wird in der Browser-Sitzung des Administrators ausgeführt und kann Sitzungstokens stehlen oder administrative Aktionen durchführen.
CVSS-3.1-Bewertung: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N reflektiert einen netzwerkbasierten Angriff mit niedriger Komplexität, ohne erforderliche Berechtigungen, mit erforderlicher Benutzerinteraktion, geändertem Scope und niedrigem Vertraulichkeits-/Integritätseinfluss.
Häufig gestellte Fragen
Wird CVE-2020-3580 aktiv ausgenutzt?
Ja, CVE-2020-3580 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit bestätigtem Ransomware-Bezug. Der EPSS-Score von 0.91814 (99,69. Perzentile) bestätigt sehr hohe Ausnutzungsaktivität in realen Angriffen.
Welche Produkte sind von CVE-2020-3580 betroffen?
Cisco ASA Software und Cisco FTD Software sind in mehreren Versionsbereichen betroffen, jedoch nur bei Konfiguration mit AnyConnect oder WebVPN. Konsultieren Sie das Cisco Security Advisory cisco-sa-asaftd-xss-multiple-FCB3vPZe für spezifische Versionsdetails.
Wie behebe ich CVE-2020-3580?
Wenden Sie die Sicherheitspatches von Cisco an, wie im Advisory cisco-sa-asaftd-xss-multiple-FCB3vPZe beschrieben. Beschränken Sie zusätzlich den Zugriff auf Web-Services-Schnittstellen, schulen Sie Administratoren über Phishing-Risiken und überwachen Sie betroffene Geräte auf verdächtige Aktivitäten.
Wie schwerwiegend ist CVE-2020-3580?
CVE-2020-3580 ist mit einem CVSS-Score von 6.1 als MITTEL eingestuft. Die KEV-Listung, der bestätigte Ransomware-Bezug und der EPSS-Score von 0.91814 (99,69. Perzentile) zeigen jedoch, dass die Schwachstelle in der Praxis deutlich gefährlicher ist, als der CVSS-Score allein vermuten lässt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.