Cisco раскрывает AnyConnect VPN zero-day, доступен код эксплойта

отредактировано 5 ноя Раздел: Уязвимости систем и приложений
Cisco.jpg

Cisco раскрыла сегодня уязвимость нулевого дня в программном обеспечении Cisco AnyConnect Secure Mobility Client с общедоступным контрольным кодом эксплойта.

Хотя обновления безопасности для этой уязвимости, связанной с выполнением произвольного кода, еще не доступны, Cisco работает над решением проблемы «нулевого дня», и исправление будет внесено в будущую версию клиента AnyConnect.

Однако, по данным группы реагирования на инциденты безопасности продуктов Cisco (PSIRT), уязвимость безопасности клиента Cisco AnyConnect Secure Mobility еще не использовалась в реальных условиях.

Устройства с конфигурациями по умолчанию не уязвимы

Уязвимость высокой степени серьезности, отслеживаемая как CVE-2020-3556, существует в канале межпроцессного взаимодействия (IPC) клиента Cisco AnyConnect и может позволить аутентифицированным и локальным злоумышленникам выполнять вредоносные сценарии через целевого пользователя.

Она затрагивает все версии клиентов AnyConnect для Windows, Linux и macOS с уязвимыми конфигурациями - мобильные клиенты iOS и Android не подвержены этой уязвимости.

«Уязвимая конфигурация требует, чтобы были включены настройки автоматического обновления и включения сценариев», - поясняет Cisco. «Автообновление включено по умолчанию, а включение сценариев отключено по умолчанию».

Для успешной эксплуатации также требуются активные сеансы AnyConnect и действительные учетные данные на целевом устройстве.

Доступны меры по смягчению последствий

Несмотря на то, что обходных путей для решения CVE-2020-3556 не существует, ее можно смягчить, отключив функцию автоматического обновления.

Поверхность атаки также можно резко уменьшить, отключив параметр конфигурации «Включить сценарии» на устройствах, на которых он включен.

Об уязвимости в Cisco сообщил Герберт Ройтбурд из Secure Mobile Networking Lab (TU Darmstadt).

Сегодня Cisco также исправила 11 других ошибок безопасности высокой степени серьезности и 23 ошибки безопасности средней степени серьезности в нескольких продуктах, которые могли привести к отказу в обслуживании или выполнению произвольного кода на уязвимых устройствах.

Cisco также исправила активно эксплуатируемые недостатки в нескольких маршрутизаторах операторского уровня и межсетевом экране ASA / FTD в сентябре и июле соответственно.

https://www.bleepingcomputer.com/news/security/cisco-discloses-anyconnect-vpn-zero-day-exploit-code-available/
Войдите или Зарегистрируйтесь чтобы комментировать.