CVE-2020-3578
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie usług webowych oprogramowania Cisco ASA i FTD może umożliwić nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej reguły dostępu i dostęp do części portalu WebVPN, które powinny być zablokowane. Problem wynika z niewystarczającej walidacji URL-i, gdy skonfigurowane są reguły dostępu do portalu. Atakujący może wykorzystać tę podatność, uzyskując dostęp do określonych URL-i na urządzeniu.
Ocena ryzyka
Ominięcie reguł dostępu może umożliwić nieautoryzowany dostęp do zasobów WebVPN, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację oprogramowania ASA i FTD do wersji z poprawkami oraz przegląd konfiguracji reguł dostępu do portalu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to bypass a configured access rule and access parts of the WebVPN portal that are supposed to be blocked. The vulnerability is due to insufficient validation of URLs when portal access rules are configured. An attacker could exploit this vulnerability by accessing certain URLs on the affected device.