Sårbarhet i Cisco ASA Clientless SSL VPN og AnyConnect Secure Mobility Client

Publisert: 20.02.2017

Sårbarhet i Cisco ASA Clientless SSL VPN

En sårbarhet i Clientless SSL VPN funksjonaliteten på Cisco sine ASA-enheter gjør det mulig for en autentisert ekstern angriper å forårsake en "heap overflow".

Sårbarheten kommer av manglende validering av brukerdata. Det er ikke kjent om sårbarheten kan utnyttes til å eksekvere kode eller forstyrre funksjonaliteten til systemet.

For at man skal ha denne sårbarheten må Clientless SSL VPN portalen være påslått og gruppe policyen må inkludere ssl-clientless. Det kan en administrator sjekke ved å kjøre følgende kommandoer:
"vpn-tunnel-protocol" og "show running-config webvpn"

Cisco er ikke kjent med at denne sårbarheten er aktivt utnyttet. Oppdateringer som retter denne sårbarheten og hvilke produkter som er sårbare, samt midlertidige løsninger, er tilgjengelig på Cisco sine
nettsider.[1]

Eskalering av privilegier i Cisco AnyConnect Secure Mobility Client

En sårbarhet i SBL (Start Before Logon) modulen til AnyConnect gjør det mulig for en ikke-autentisert lokal bruker å åpne Internet Explorer med samme privilegier som SYSTEM brukeren.

Man er kun sårbar dersom man bruker SBL modulen, noe AnyConnect ikke gjør med standardinnstillinger. Man kan sjekke om det er tilfelle å sjekke listen over installerte programmer etter Cisco AnyConnect Start Before Login Module. UserStartBeforeLogon må også være satt til "true" i xml filen som vanligvis har følgende lokasjon: "C:\ProgramData\Cisco\Cisco AnyConnect Secure
Mobility Client\Profile"

Sårbarheten skyldes utilstrekkelig implementering av aksesskontroll. Cisco er ikke kjent med at denne sårbarheten er aktivt utnyttet. Oppdateringer til som adresserer denne sårbarheten samt hvilke produkter som er sårbare er tilgjengelig på Cisco sine nettsider.[2]

  1. https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170208-asa
  2. https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170208-anyconnect