CVE-2020-3452: Cisco ASA/FTD 任意文件读取漏洞通告

2020-07-23 11:32

报告编号：B6-2020-072301

报告来源：360CERT

报告作者：360CERT

更新日期：2020-07-23

0x01 漏洞简述

2020年07月23日， 360CERT监测发现 Cisco官方 发布了 Cisco ASA 软件和 FTD 软件的 Web 接口存在目录遍历导致任意文件读取 的风险通告，该漏洞编号为 CVE-2020-3452，漏洞等级：中危。 Cisco Adaptive Security Appliance (ASA) 和 Cisco Firepower Threat Defense (FTD) 的 web 服务接口存在漏洞，允许未经身份验证的远程攻击者向受影响的设备发送一个精心制作的HTTP请求，成功利用该漏洞的攻击者能够进行目录遍历攻击并读取目标系统上的敏感文件。

该漏洞目前仅影响启用了AnyConnect或WebVPN配置的设备，并且此漏洞不能用于访问ASA或FTD系统文件或底层操作系统(OS)文件。

该漏洞的相关技术细节已公开。

对此，360CERT建议广大用户及时将 Cisco ASA/TFD 安装最新补丁。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	中危
影响面	广泛

0x03 漏洞详情

Cisco Adaptive Security Appliance (ASA) 是为Cisco ASA系列提供支持的核心操作系统，它以多种形式为ASA设备提供企业级防火墙功能。Cisco Firepower Threat Defense (FTD) 是 Cisco 的防火墙产品。

Cisco Adaptive Security Appliance (ASA) 和 Cisco Firepower Threat Defense (FTD) 的 web 服务接口存在漏洞，允许未经身份验证的远程攻击者向受影响的设备发送一个精心制作的HTTP请求，成功利用该漏洞的攻击者能够进行目录遍历攻击并读取目标系统上的敏感文件。

该漏洞目前仅影响启用了AnyConnect或WebVPN配置的设备，并且此漏洞不能用于访问ASA或FTD系统文件或底层操作系统(OS)文件。

0x04 影响版本

Cisco ASA：<= 9.6
Cisco ASA：9.7 , 9.8 , 9.9 , 9.10 , 9.12 , 9.13 , 9.14
Cisco FTD：6.2.2 , 6.2.3 , 6.3.0 , 6.4.0 , 6.5.0 , 6.6.0

易受攻击的配置如下

Cisco ASA：

AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable <interface_name> client-services port <port #>
AnyConnect SSL VPN：webvpn enable <interface_name>
Clientless SSL VPN：webvpn enable <interface_name>

Cisco FTD：

AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable <interface_name> client-services port <port #>
AnyConnect SSL VPN：webvpn enable <interface_name>

0x05 修复建议

通用修补建议：

Cisco ASA：

9.6 版本以前升级到某一修复版本
9.6 版本升级到 9.6.4.42 版本
9.7 版本升级到某一修复版本
9.8 版本升级到 9.8.4.20 版本
9.9 版本升级到 9.9.2.74 版本
9.10 版本升级到 9.10.1.42 版本
9.12 版本升级到 9.12.3.12 版本
9.13 版本升级到 9.13.1.10 版本
9.14 版本升级到 9.14.1.10 版本

Cisco FTD：

6.2.2 版本升级到某一修复版本
6.2.3 版本升级到 6.2.3.16 版本
6.3.0 版本升级到 6.3.0.5(Hot Fix)/6.3.0.6/6.4.0.9(Hot Fix)/6.6.0.1 版本
6.4.0 版本升级到 6.4.0.9(Hot Fix)/6.4.0.10 版本
6.5.0 版本升级到 6.5.0.4(Hot Fix)/6.5.0.5/6.6.0.1 版本
6.6.0 版本升级到 6.6.0.1 版本

Cisco FTD Hot Fix 细节:

6.3.0.5：

Cisco_FTD_Hotfix_AV-6.3.0.6-3.sh.REL.tar          
Cisco_FTD_SSP_Hotfix_AV-6.3.0.6-3.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_AV-6.3.0.6-3.sh.REL.tar

6.4.0.9：

Cisco_FTD_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_BM-6.4.0.10-2.sh.REL.tar

6.5.0.4：

Cisco_FTD_Hotfix_O-6.5.0.5-3.sh.REL.tar          
Cisco_FTD_SSP_FP2K_Hotfix_O-6.5.0.5-3.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_O-6.5.0.5-3.sh.REL.tar  
Cisco_FTD_SSP_Hotfix_O-6.5.0.5-3.sh.REL.tar

要升级到Cisco FTD的修复版本，客户可以执行以下操作之一:

对于使用Cisco Firepower Management Center（FMC）的设备，请使用FMC界面安装升级。安装完成后，重新应用访问控制策略。
对于使用Cisco Firepower Device Manager (FDM)的设备，请使用FDM界面来安装升级。安装完成后，重新应用访问控制策略。

具体请参考 Security Vulnerability Policy

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现 cisco ASA/FTD 在 全球 均有广泛使用，具体分布如下图所示。

0x07 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。

0x08 时间线

2020-07-22 Cisco官方发布通告

2020-07-23 360CERT发布通告