Cisco Adaptive Security Appliance 軟體遠端存取 VPN 未經授權存取 - 暴力密碼破解攻擊 (cisco-sa-asaftd-ravpn-auth-8LyfCkeC)

critical Nessus Plugin ID 182523

語系：

概要

遠端裝置缺少廠商提供的安全性修補程式

說明

Cisco Adaptive Security Appliance (ASA) 軟體的遠端存取 VPN 功能中有一個弱點，可允許未經驗證的遠端攻擊者執行暴力密碼破解攻擊，以嘗試識別有效的使用者名稱和密碼組合。此弱點是因為不當分隔遠端存取 VPN 功能與 HTTPS 管理和 site-to-site VPN 功能之間的驗證、授權和計量 (AAA) 所導致的。攻擊者可在執行暴力密碼破解攻擊時，指定預設連線設定檔/通道群組，藉此惡意利用此弱點。一旦攻擊成功，攻擊者便可識別可隨後用來建立未經授權的遠端存取 VPN 工作階段的有效認證。注意：無法建立用戶端型遠端存取 VPN 通道，因為這些預設連線設定檔/通道群組不會也無法設定 IP 位址集區。此弱點不允許攻擊者繞過驗證。若要在已設定多重驗證 (MFA) 的情況下成功建立遠端存取 VPN 工作階段，則需要有效的認證，包括有效的第二因素。

如需詳細資訊，請參閱隨附的 Cisco BID 和 Cisco 安全性公告。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。