Cisco corrigió una un fallo de seguridad de tipo Path Traversal (sólo lectura), de severidad alta y activamente explotada, que afecta la interfaz de servicios web de dos de sus productos de firewall.
Si se explota con éxito, la vulnerabilidad de seguridad identificada como CVE-2020-3452 puede permitir que atacantes remotos y no autenticados puedan leer archivos confidenciales en los sistemas vulnerables.
Los productos afectados son:
- Cisco Adaptive Security Appliance (ASA), el SO para dispositivos autónomos, blades y dispositivos virtuales Cisco ASA utilizados para proteger centros de datos y redes corporativas.
- Cisco Firepower Threat Defense (FTD), un software unificado proporcionando servicios de firewall de próxima generación.
El fallo de seguridad es causado por una validación de entrada incorrecta de URL en solicitudes HTTP, permitiendo así a un atacante explotar la vulnerabilidad mediante el envío de peticiones HTTP especialmente diseñadas con secuencias de caracteres particulares. Mikhail Klyuchnikov de Positive Technologies y Ahmed Aboul-Ela y Abdulrahman Nour de RedForce informaron de manera independiente a Cisco sobre CVE-2020-3452.
La explotación exitosa podría permitir a los atacantes remotos leer archivos arbitrarios en los dispositivos de destino, almacenados dentro del sistema de archivos de servicios web.
En boletín de prensa emitido por el fabricante, se indicó que «los archivos de servicios web que el atacante puede ver pueden tener información como la configuración de WebVPN, marcadores web, cookies web, contenido web parcial y URL HTTP».
No obstante, tal como Cisco explicó más adelante, «esta vulnerabilidad no se puede utilizar para obtener acceso a los archivos del sistema ASA o FTD o los archivos subyacentes del sistema operativo (SO)».
A pesar de no existir workarounds para solventar esta vulnerabilidad, Cisco ha lanzado actualizaciones de seguridad gratuitas para dispositivos que ejecutan versiones vulnerables del software ASA / FTD.
Referencia: