Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Cisco Adaptive Security Appliance Software opravuje kritickú zraniteľnosť

Cisco opravuje kritickú zraniteľnosť v produkte Cisco Adaptive Security Appliance Software (ASA) [1]. Opravené verzie možno získať na [2], kde je potrebné na prvej stránke zadať typ a verziu produktu. Na ďalšej stránke je potrebné vybrať všetky posúdenia dopadov a všetky bezpečnostné odporúčania. Na poslednej stránke je nutné vybrať najvyššiu zo zobrazených opravených verzií a aktualizovať na ňu postihnuté zariadenie. V prípade, že nie je možné vykonať aktualizáciu, je na zmiernenie dopadov možné zraniteľnosť obísť povolením natívneho SSH stacku a zakázaním CiscoSSH stacku príkazom 'no ssh stack ciscossh'. Aby sa zmena zachovala aj po reštarte, je nutné sa znovu prihlásiť a uložiť konfiguráciu. Aj keď bolo riešenie úspešne otestované, zákazníci by mali posúdiť jeho vhodnosť a dopad na výkon vo svojom vlastnom prostredí a pri svojich prevádzkových podmienkach, pretože môže dôjsť k negatívnemu vplyvu na funkčnosť siete [1].

Cisco Adaptive Security Appliance Software - vzdialený command injection (CVE-2024-20329)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej validácie používateľského vstupu v SSH subsystéme softvéru Cisco Adaptive Security Appliance (ASA) umožnené vykonávať príkazy operačného systému s právami root. Útočník môže zraniteľnosť zneužiť zaslaním špeciálne upraveného vstupu pri vykonávaní príkazov prostredníctvom SSH v CLI rozhraní [1].

Zraniteľnosť sa nachádza v produkte:

  • Cisco ASA; =9.17.1; =9.17.1.7; =9.17.1.9; =9.17.1.10; =9.18.1; =9.18.1.3; =9.17.1.11; =9.18.2; =9.17.1.13; =9.17.1.15; =9.18.2.5; =9.17.1.20; =9.18.2.7; =9.19.1; =9.18.2.8; =9.18.3; =9.19.1.5; =9.17.1.30; =9.19.1.9; =9.18.3.39; =9.19.1.12; =9.18.3.46; =9.19.1.18; =9.18.3.53; =9.18.3.55; =9.17.1.33; =9.18.3.56

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:X/RL:X/RC:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MPR:X/MUI:X/MS:X/MC:X/MI:X/MA:X

Viac informácií:

Zraniteľnosť bola verejne oznámená 23. 10. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 25. 10. 2024.

CESNET, z.s.p.o. Logo