Cisco Adaptive Security Appliance 使用者名稱列舉資訊洩漏弱點 (CSCvd47888)

high Nessus Plugin ID 102499

語系：

概要

遠端裝置缺少供應商提供的安全性修補程式。

說明

根據其自我報告的版本和組態，遠端裝置上執行的 Cisco Adaptive Security Appliance (ASA) 軟體受到 Cisco Adaptive Security Appliance (ASA) 的 Web 式管理介面中一個弱點影響，經驗證的遠端攻擊者可藉以判斷有效的使用者名稱。此弱點之所以存在，是因為一起設定輕量目錄存取通訊協定 (LDAP) 和 SSL 連線設定檔時，兩者之間的互動所致。攻擊者可對裝置的 IP 位址發動使用者名稱列舉攻擊，進而惡意利用此弱點。若惡意利用得逞，攻擊者即可判斷有效的使用者名稱。

解決方案

升級至 Cisco 安全性公告 cisco-sa-20170802-asa2 中所述的相關修正版本。ASA 管理員可利用下列命令來停用內建的密碼管理機制：tunnel-group DefaultWEBVPNGroup general-attributes no password-management