Cisco ASA 無用戶端 SSL VPN 功能 CIFS RCE (cisco-sa-20170208-asa)

high Nessus Plugin ID 97211

語系：

Synopsis

遠端裝置缺少供應商提供的安全性修補程式。

描述

根據其自我報告的版本和組態，遠端裝置上執行的 Cisco Adaptive Security Appliance (ASA) 軟體受到無用戶端 SSL VPN 功能內，CIFS (一般網際網路檔案系統) 程式碼中的一個堆積溢位情形影響，這是因為不當驗證使用者提供的輸入所致。經驗證的遠端攻擊者可惡意利用此情形，透過特製的 URL，造成裝置重新載入，或是執行任意程式碼。請注意，只有導向至受影響系統的流量可用來惡意利用此問題，這僅會影響在路由防火牆模式中設定的系統，以及單一或多重內容模式中設定的系統。發動攻擊需要有效的 TCP 連線。此外，攻擊者必須具備有效的認證，才能登入無用戶端 SSL VPN 入口網站。此弱點可透過 IPv4 或 IPv6 流量觸發。

解決方案

升級至 Cisco 安全性公告 cisco-sa-20170208-asa 中所述的相關修正版本。或者，您可以使用 Web 類型的存取清單封鎖引起問題的 URL 做為因應措施，步驟如下：1.設定 Web 類型存取清單：access-list bugCSCvc23838 webtype deny url https://<asa_ip_address>/+webvpn+/CIFS_R/* access-list bugCSCvc23838 webtype permit url https://* access-list bugCSCvc23838 webtype permit url cifs://*2.使用「filter value <webtype_acl_name>」命令，在群組原則中套用存取清單：group-policy Clientless attributes webvpn filter value bugCSCvc23838