CVE-2023-20269
Cisco Adaptive Security Appliance and Firepower Threat Defense Unauthorized Access Vulnerability
Beschreibung
CVE-2023-20269 ist eine Sicherheitslücke in der Remote-Access-VPN-Funktion von Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Die Schwachstelle beruht auf einer unzureichenden Trennung von Authentifizierung, Autorisierung und Abrechnung (AAA) zwischen der Remote-Access-VPN-Funktion und den HTTPS-Management- sowie Site-to-Site-VPN-Funktionen. Ein nicht authentifizierter Angreifer kann diese Schwachstelle aus der Ferne ausnutzen, um Brute-Force-Angriffe auf Anmeldedaten durchzuführen, oder ein authentifizierter Angreifer kann eine nicht autorisierte Clientless-SSL-VPN-Sitzung aufbauen. CVE-2023-20269 wurde von der CISA in den KEV-Katalog aufgenommen und wird aktiv in Verbindung mit Ransomware-Angriffen ausgenutzt, was sofortiges Handeln erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | 9.8.1; 9.8.1.5; 9.8.1.7; 9.8.2; 9.8.2.8; 9.8.2.14; 9.8.2.15; 9.8.2.17; 9.8.2.20; 9.8.2.24; 9.8.2.26; 9.8.2.28; 9.8.2.33; 9.8.2.35; 9.8.2.38; 9.8.3; 9.8.3.8; 9.8.3.11; 9.8.3.14; 9.8.3.16; 9.8.3.18; 9.8.3.21; 9.8.3.26; 9.8.3.29; 9.8.4; 9.8.4.3; 9.8.4.7; 9.8.4.8; 9.8.4.10; 9.8.4.12; 9.8.4.15; 9.8.4.17; 9.8.4.20; 9.8.4.22; 9.8.4.25; 9.8.4.26; 9.8.4.29; 9.8.4.32; 9.8.4.33; 9.8.4.34; 9.8.4.35; 9.8.4.39; 9.8.4.40; 9.8.4.41; 9.8.4.43; 9.8.4.44; 9.8.4.45; 9.8.4.46; 9.8.4.48; 9.12.1; 9.12.1.2; 9.12.1.3; 9.12.2; 9.12.2.1; 9.12.2.4; 9.12.2.5; 9.12.2.9; 9.12.3; 9.12.3.2; 9.12.3.7; 9.12.3.9; 9.12.3.12; 9.12.4; 9.12.4.2; 9.12.4.4; 9.12.4.7; 9.12.4.8; 9.12.4.10; 9.12.4.13; 9.12.4.18; 9.12.4.24; 9.12.4.26; 9.12.4.29; 9.12.4.30; 9.12.4.35; 9.12.4.37; 9.12.4.38; 9.12.4.39; 9.12.4.40; 9.12.4.41; 9.12.4.47; 9.12.4.48; 9.12.4.50; 9.12.4.52; 9.12.4.54; 9.12.4.55; 9.12.4.56; 9.12.4.58; 9.14.1; 9.14.1.6; 9.14.1.10; 9.14.1.15; 9.14.1.19; 9.14.1.30; 9.14.2; 9.14.2.4; 9.14.2.8; 9.14.2.13; 9.14.2.15; 9.14.3; 9.14.3.1; 9.14.3.9; 9.14.3.11; 9.14.3.13; 9.14.3.15; 9.14.3.18; 9.14.4; 9.14.4.6; 9.14.4.7; 9.14.4.12; 9.14.4.13; 9.14.4.14; 9.14.4.15; 9.14.4.17; 9.14.4.22; 9.14.4.23; 9.15.1; 9.15.1.1; 9.15.1.7; 9.15.1.10; 9.15.1.15; 9.15.1.16; 9.15.1.17; 9.15.1.21; 9.16.1; 9.16.1.28; 9.16.2; 9.16.2.3; 9.16.2.7; 9.16.2.11; 9.16.2.13; 9.16.2.14; 9.16.3; 9.16.3.3; 9.16.3.14; 9.16.3.15; 9.16.3.19; 9.16.3.23; 9.16.4; 9.16.4.9; 9.16.4.14; 9.16.4.18; 9.16.4.19; 9.16.4.27; 9.16.4.38; 9.17.1; 9.17.1.7; 9.17.1.9; 9.17.1.10; 9.17.1.11; 9.17.1.13; 9.17.1.15; 9.17.1.20; 9.17.1.30; 9.18.1; 9.18.1.3; 9.18.2; 9.18.2.5; 9.18.2.7; 9.18.2.8; 9.18.3; 9.18.3.39; 9.18.3.46; 9.18.3.53; 9.18.3.55; 9.19.1; 9.19.1.5; 9.19.1.9; 9.19.1.12; 9.19.1.18 |
| cisco | secure firewall threat defense | 6.2.3; 6.2.3.1; 6.2.3.2; 6.2.3.3; 6.2.3.4; 6.2.3.5; 6.2.3.6; 6.2.3.7; 6.2.3.8; 6.2.3.9; 6.2.3.10; 6.2.3.11; 6.2.3.12; 6.2.3.13; 6.2.3.14; 6.2.3.15; 6.2.3.16; 6.2.3.17; 6.2.3.18; 6.4.0; 6.4.0.1; 6.4.0.2; 6.4.0.3; 6.4.0.4; 6.4.0.5; 6.4.0.6; 6.4.0.7; 6.4.0.8; 6.4.0.9; 6.4.0.10; 6.4.0.11; 6.4.0.12; 6.4.0.13; 6.4.0.14; 6.4.0.15; 6.4.0.16; 6.6.0; 6.6.0.1; 6.6.1; 6.6.3; 6.6.4; 6.6.5; 6.6.5.1; 6.6.5.2; 6.6.7; 6.6.7.1; 6.7.0; 6.7.0.1; 6.7.0.2; 6.7.0.3; 7.0.0; 7.0.0.1; 7.0.1; 7.0.1.1; 7.0.2; 7.0.2.1; 7.0.3; 7.0.4; 7.0.5; 7.0.6; 7.1.0; 7.1.0.1; 7.1.0.2; 7.1.0.3; 7.2.0; 7.2.0.1; 7.2.1; 7.2.2; 7.2.3; 7.2.4; 7.2.4.1; 7.2.5; 7.3.0; 7.3.1; 7.3.1.1; 7.4.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Referenzen
Schwachstellentyp
CWE-288: Authentication Bypass Using an Alternate Path or Channel
Bei CVE-2023-20269 ermöglicht die unzureichende Trennung der AAA-Mechanismen zwischen verschiedenen VPN-Funktionen in Cisco ASA und FTD, dass Angreifer über einen alternativen Pfad — nämlich das Standard-Verbindungsprofil — die Authentifizierungskontrolle umgehen und Brute-Force-Angriffe durchführen können.
Mehr erfahren: CWE-288 — Authentication Bypass Using an Alternate Path or Channel
CWE-863: Incorrect Authorization
Die fehlerhafte Autorisierung in der Cisco ASA/FTD-Software führt dazu, dass ein authentifizierter Benutzer unter bestimmten Bedingungen eine Clientless-SSL-VPN-Sitzung aufbauen kann, obwohl dies durch die Konfiguration nicht vorgesehen ist. Dies betrifft insbesondere Cisco ASA Software Release 9.16 und früher.
Mehr erfahren: CWE-863 — Incorrect Authorization
Auswirkungsanalyse
CVE-2023-20269 ist mit einem CVSS-Score von 5.0 (MEDIUM) bewertet und kann aus der Ferne über das Netzwerk ausgenutzt werden, ohne dass besondere Bedingungen erforderlich sind (Angriffskomplexität: niedrig). Der Angreifer benötigt zwar minimale Berechtigungen (Privilegien: niedrig), jedoch ist keine Benutzerinteraktion notwendig. Integrität (niedrig): Ein erfolgreicher Angriff ermöglicht das Erraten gültiger Anmeldedaten per Brute-Force oder den Aufbau nicht autorisierter VPN-Sitzungen, wobei der Scope als changed eingestuft ist — die Auswirkungen gehen also über die verwundbare Komponente hinaus. Besonders kritisch ist, dass die CISA diese Schwachstelle mit bekannter Ransomware-Nutzung in Verbindung bringt, was bedeutet, dass erfolgreiche Ausnutzung als Einfallstor für Ransomware-Angriffe auf Unternehmensnetzwerke dienen kann.
Exploit-Reifegrad
Die CISA hat CVE-2023-20269 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Besonders besorgniserregend ist, dass diese Schwachstelle bekanntermaßen in Ransomware-Kampagnen eingesetzt wird, was die Dringlichkeit der Behebung erheblich erhöht. Mit einem EPSS-Score von 0,88 % ist die modellbasierte Ausnutzungswahrscheinlichkeit zwar moderat, jedoch bestätigt die KEV-Aufnahme die reale Bedrohungslage. Die Frist der CISA zur Behebung war der 4. Oktober 2023 — Organisationen, die diese Frist verpasst haben, sollten umgehend handeln.
Behebung
- Sofortige Maßnahme gemäß CISA-Empfehlung: Wenden Sie die vom Hersteller bereitgestellten Mitigationen an oder stellen Sie die Nutzung des Produkts ein, falls keine Mitigationen verfügbar sind. Prüfen Sie das Cisco Security Advisory auf aktuelle Patches und Workarounds.
- Aktualisierung der Cisco ASA und FTD Software: Aktualisieren Sie Cisco ASA Software auf eine Version nach 9.16, da Clientless-SSL-VPN-Sitzungen nur auf Release 9.16 und früher möglich sind. Für Cisco FTD installieren Sie die neueste verfügbare Softwareversion.
- Zugriffsbeschränkungen konfigurieren: Deaktivieren Sie nicht verwendete Standard-Verbindungsprofile (DefaultWEBVPNGroup, DefaultRAGroup) oder konfigurieren Sie diese so, dass sie keine gültigen AAA-Server referenzieren. Implementieren Sie Sperrmechanismen für fehlgeschlagene Anmeldeversuche, um Brute-Force-Angriffe zu erschweren.
- Überwachung und Erkennung: Überprüfen Sie VPN-Anmeldeprotokolle auf ungewöhnliche Brute-Force-Muster und nicht autorisierte VPN-Sitzungen. Achten Sie insbesondere auf Anmeldeversuche über Standard-Tunnel-Gruppen.
- Multi-Faktor-Authentifizierung (MFA) erzwingen: Aktivieren Sie MFA für alle Remote-Access-VPN-Verbindungen, um selbst bei kompromittierten Anmeldedaten einen zusätzlichen Schutzfaktor zu gewährleisten.
Technische Details
Die Schwachstelle CVE-2023-20269 basiert auf einer fehlerhaften Trennung der AAA-Mechanismen (Authentication, Authorization, Accounting) zwischen der Remote-Access-VPN-Funktion und den HTTPS-Management- sowie Site-to-Site-VPN-Funktionen in Cisco ASA und FTD. Gemäß dem CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N) ist die Schwachstelle über das Netzwerk mit niedriger Komplexität ausnutzbar, wobei der Scope als "Changed" eingestuft ist, was bedeutet, dass die Auswirkungen über die verwundbare Komponente hinausgehen. Die Schwachstelle kombiniert zwei Schwachstellentypen: CWE-288 (Authentication Bypass Using an Alternate Path) ermöglicht es Angreifern, über Standard-Verbindungsprofile Brute-Force-Angriffe gegen die Authentifizierung durchzuführen, während CWE-863 (Incorrect Authorization) dazu führt, dass authentifizierte Benutzer nicht autorisierte Clientless-SSL-VPN-Sitzungen aufbauen können. Wichtig ist, dass ein vollständiger client-basierter Remote-Access-VPN-Tunnel nicht aufgebaut werden kann, da die Standard-Verbindungsprofile keinen IP-Adresspool konfiguriert haben und auch nicht konfigurieren können.
Häufig gestellte Fragen
Wird CVE-2023-20269 aktiv ausgenutzt?
Ja, CVE-2023-20269 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen und bestätigt die aktive Ausnutzung in freier Wildbahn. Zudem wird die Schwachstelle bekanntermaßen in Ransomware-Kampagnen eingesetzt.
Welche Produkte sind von CVE-2023-20269 betroffen?
Betroffen sind Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Das Risiko für nicht autorisierte Clientless-SSL-VPN-Sitzungen besteht insbesondere bei Cisco ASA Software Release 9.16 und früher.
Wie kann ich CVE-2023-20269 beheben?
Installieren Sie die neuesten Software-Updates von Cisco und konfigurieren Sie nicht verwendete Standard-Verbindungsprofile so, dass sie keine gültigen AAA-Server referenzieren. Zusätzlich sollte Multi-Faktor-Authentifizierung für alle Remote-Access-VPN-Verbindungen aktiviert werden.
Wie schwerwiegend ist CVE-2023-20269?
Mit einem CVSS-Score von 5.0 wird CVE-2023-20269 als MEDIUM eingestuft. Trotz der moderaten Bewertung ist die Schwachstelle aufgrund der bestätigten Ransomware-Nutzung und der aktiven Ausnutzung als hochprioritär zu behandeln. Der EPSS-Score liegt im 75. Perzentil.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.