Adaptive Security Appliance Software
Уязвимости
351
Эксплуатируемые
13
Макс. CVSS
10
Макс. EPSS
0.99992
Распределение по критичности
Критический
15
Высокий
187
Средний
148
Низкий
1
Затронутые диапазоны версий
7.0–7.0.7.17.0–8.2.2.137.2.0–8.4\(3\)7.2.1–9.0.4.408.1–8.1\(2.7\)8.2–9.4.3.39.10–9.10.1.379.12.0–9.12.4.189.12.0–9.12.4.299.12.1–9.12.4.679.12.1–9.16.4.849.12.1–9.16.4.859.12–9.12.3.29.13.0–9.13.1.139.13–9.13.1.219.14.0–9.14.2.49.15–9.15.1.179.16.0–9.16.3.199.16.1–9.16.4.899.17.0–9.17.1.99.17.1–9.18.4.719.18.1–9.18.3.469.18.1–9.18.4.669.18.1–9.18.4.71
Также сопоставлено как (исходные строки): asa_5500,pix_security_appliance,pix_firewall,firewall_services_module,adaptive_security_virtual_appliance,catalyst_6500,adaptive_security_appliance,firepower_threat_defense,adaptive_security_appliance_software,5500_series_adaptive_security_appliance,pix_firewall_software,catalyst_6503-e
Топ уязвимостей
CVE-2018-0101Уязвимость в функции Secure Sockets Layer (SSL) VPN Cisco Adaptive Security Appliance (ASA) Software может позволить неаутентифицированному удаленному злоумышленнику вызвать перезагрузку затронутой системы или удаленно выполнить код. Уязвимость связана с попыткой двойного освобождения области памяти, когда на устройстве Cisco ASA включена функция webvpn. Злоумышленник может воспользоваться этой уязвимостью, отправив несколько специально созданных XML-пакетов на интерфейс, настроенный для webvpn, в затронутой системе. Эксплойт может позволить злоумышленнику выполнить произвольный код и получить полный контроль над системой или вызвать перезагрузку затронутого устройства. Эта уязвимость затрагивает Cisco ASA Software, работающее на следующих продуктах Cisco: 3000 Series Industrial Security Appliance (ISA), ASA 5500 Series Adaptive Security Appliances, ASA 5500-X Series Next-Generation Firewalls, ASA Services Module для Cisco Catalyst 6500 Series Switches и Cisco 7600 Series Routers, ASA 1000V Cloud Firewall, Adaptive Security Virtual Appliance (ASAv), Firepower 2100 Series Security Appliance, Firepower 4110 Security Appliance, Firepower 9300 ASA Security Module, Firepower Threat Defense Software (FTD). Идентификаторы ошибок Cisco: CSCvg35618.
CVE-2013-5511Функция удаленного управления Adaptive Security Device Management (ASDM) в Cisco Adaptive Security Appliance (ASA) Software версий 8.2.x до 8.2(5.46), 8.3.x до 8.3(2.39), 8.4.x до 8.4(6), 8.5.x до 8.5(1.18), 8.6.x до 8.6(1.12), 8.7.x до 8.7(1.7), 9.0.x до 9.0(3.1) и 9.1.x до 9.1(2.6) неправильно реализует опцию authentication-certificate, что позволяет удаленным злоумышленникам обходить аутентификацию через TCP-сессию к интерфейсу ASDM, также известная как Bug ID CSCuh44815.
CVE-2013-5509Реализация SSL в Cisco Adaptive Security Appliance (ASA) Software 9.0 до 9.0(2.6) и 9.1 до 9.1(2) позволяет удаленным злоумышленникам обходить аутентификацию и получать доступ к VPN или административный доступ через специально созданный клиентский сертификат X.509, также известная как Bug ID CSCuf52468.
CVE-2007-2462Неуказанная уязвимость в Cisco Adaptive Security Appliance (ASA) и PIX 7.2 до 7.2(2)8, при использовании Layer 2 Tunneling Protocol (L2TP) или Remote Management Access, позволяет удаленным злоумышленникам обойти аутентификацию LDAP и получить привилегии через неизвестные векторы.
CVE-2025-20333Уязвимость в веб-сервере VPN Cisco Secure Firewall Adaptive Security Appliance (ASA) Software и Cisco Secure Firewall Threat Defense (FTD) Software может позволить аутентифицированному удаленному злоумышленнику выполнить произвольный код на уязвимом устройстве.
Эта уязвимость связана с неправильной проверкой пользовательского ввода в запросах HTTP(S). Злоумышленник, обладающий действительными учетными данными пользователя VPN, может воспользоваться этой уязвимостью, отправив специально сформированные запросы HTTP на уязвимое устройство. Успешная эксплуатация может позволить злоумышленнику выполнить произвольный код с правами root, что потенциально может привести к полной компрометации уязвимого устройства [1].
Источники:
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB
CVE-2024-20329Уязвимость в подсистеме SSH программного обеспечения Cisco Adaptive Security Appliance (ASA) может позволить прошедшему проверку подлинности удаленному злоумышленнику выполнять команды операционной системы от имени пользователя root.
Эта уязвимость связана с недостаточной проверкой вводимых пользователем данных. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданные входные данные при выполнении удаленных команд CLI через SSH. Успешная эксплуатация может позволить злоумышленнику выполнять команды в базовой операционной системе с привилегиями уровня root. Злоумышленник с ограниченными привилегиями пользователя может использовать эту уязвимость для получения полного контроля над системой.
CVE-2020-3125Уязвимость в функции аутентификации Kerberos в Cisco Adaptive Security Appliance (ASA) Software может позволить не прошедшему проверку подлинности удаленному злоумышленнику выдавать себя за центр распространения ключей Kerberos (KDC) и обходить аутентификацию на уязвимом устройстве, настроенном для выполнения аутентификации Kerberos для VPN или локального доступа к устройству. Уязвимость связана с недостаточной проверкой идентификации KDC при получении успешного ответа об аутентификации. Злоумышленник может воспользоваться этой уязвимостью, подделав ответ сервера KDC на устройство ASA. Этот вредоносный ответ не был бы аутентифицирован KDC. Успешная атака может позволить злоумышленнику обойти аутентификацию Kerberos.
CVE-2016-1287Переполнение буфера в реализациях IKEv1 и IKEv2 в Cisco ASA Software до 8.4(7.30), 8.7 до 8.7(1.18), 9.0 до 9.0(4.38), 9.1 до 9.1(7), 9.2 до 9.2(4.5), 9.3 до 9.3(3.7), 9.4 до 9.4(2.4) и 9.5 до 9.5(2.2) на устройствах ASA 5500, устройствах ASA 5500-X, модуле служб ASA для устройств Cisco Catalyst 6500 и Cisco 7600, устройствах ASA 1000V, виртуальном устройстве Adaptive Security Virtual Appliance (aka ASAv), модуле безопасности Firepower 9300 ASA и устройствах ISA 3000 позволяет удаленным злоумышленникам выполнять произвольный код или вызывать отказ в обслуживании (перезагрузка устройства) через специально созданные пакеты UDP, он же ошибки CSCux29978 и CSCux42019.
CVE-2012-0358Переполнение буфера в элементе управления Cisco Port Forwarder ActiveX в cscopf.ocx, распространяемом через функцию Clientless VPN на устройствах Cisco Adaptive Security Appliances (ASA) серии 5500 с программным обеспечением с 7.0 по 7.2 до 7.2(5.6), 8.0 до 8.0(5.26), 8.1 до 8.1(2.53), 8.2 до 8.2(5.18), 8.3 до 8.3(2.28), 8.2 до 8.4(2.16) и 8.6 до 8.6(1.1), позволяет удаленным злоумышленникам выполнять произвольный код через неуказанные векторы, также известная как Bug ID CSCtr00165.
CVE-2023-20269Уязвимость в функции VPN удаленного доступа программного обеспечения Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD) может позволить не прошедшему проверку подлинности удаленному злоумышленнику провести атаку методом перебора в попытке определить допустимые комбинации имени пользователя и пароля или прошедшему проверку подлинности удаленному злоумышленнику установить клиентский сеанс SSL VPN с неавторизованным пользователем.
Эта уязвимость связана с неправильным разделением аутентификации, авторизации и учета (AAA) между функцией VPN удаленного доступа и функциями управления HTTPS и VPN типа «сайт-сайт». Злоумышленник может воспользоваться этой уязвимостью, указав профиль подключения/туннельную группу по умолчанию при проведении атаки методом перебора или при установлении клиентского сеанса SSL VPN с использованием действительных учетных данных. Успешная эксплуатация может позволить злоумышленнику добиться одного или обоих из следующего:
Определить действительные учетные данные, которые затем можно использовать для установления несанкционированного сеанса VPN удаленного доступа.
Установить клиентский сеанс SSL VPN (только при работе с Cisco ASA Software Release 9.16 или более ранней версии).
Примечания:
Установить клиентский туннель VPN удаленного доступа невозможно, поскольку эти профили подключения/туннельные группы по умолчанию не имеют и не могут иметь настроенный пул IP-адресов.
Эта уязвимость не позволяет злоумышленнику обойти аутентификацию. Для успешного установления сеанса VPN удаленного доступа требуются действительные учетные данные, включая действительный второй фактор, если настроена многофакторная аутентификация (MFA).
Cisco выпустит обновления программного обеспечения, устраняющие эту уязвимость. Существуют обходные пути, устраняющие эту уязвимость.
CVE-2020-3187Уязвимость в интерфейсе веб-служб Cisco Adaptive Security Appliance (ASA) Software и Cisco Firepower Threat Defense (FTD) Software может позволить не прошедшему проверку подлинности удаленному злоумышленнику проводить атаки directory traversal и получать доступ для чтения и удаления конфиденциальных файлов в целевой системе. Эта уязвимость связана с отсутствием надлежащей проверки входных данных HTTP-URL. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный HTTP-запрос, содержащий последовательности символов directory traversal. Эксплойт может позволить злоумышленнику просматривать или удалять произвольные файлы в целевой системе. Когда устройство перезагружается после эксплуатации этой уязвимости, все удаленные файлы восстанавливаются. Злоумышленник может просматривать и удалять только файлы в файловой системе веб-служб. Эта файловая система включена, когда затронутое устройство настроено с использованием функций WebVPN или AnyConnect. Эту уязвимость нельзя использовать для получения доступа к системным файлам ASA или FTD или к базовым файлам операционной системы (ОС). Перезагрузка затронутого устройства восстановит все файлы в файловой системе веб-служб.
CVE-2025-20363Уязвимость в веб-службах Cisco ASA, FTD, IOS, IOS XE и IOS XR, позволяющая удаленному злоумышленнику выполнить произвольный код на уязвимом устройстве из-за неправильной проверки пользовательского ввода в HTTP-запросах [1].
Источники:
- [1] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-http-code-exec-WmfP3h3O
CVE-2012-4661Переполнение буфера на основе стека в механизме проверки DCERPC на устройствах Cisco Adaptive Security Appliances (ASA) серии 5500 и ASA Services Module (ASASM) в устройствах Cisco Catalyst серии 6500 с программным обеспечением 8.3 до 8.3(2.34), 8.4 до 8.4(4.4), 8.5 до 8.5(1.13) и 8.6 до 8.6(1.3), а также Firewall Services Module (FWSM) 4.1 до 4.1(9) в коммутаторах Cisco Catalyst серии 6500 и маршрутизаторах серии 7600 может позволить удаленным злоумышленникам выполнить произвольный код через специально созданный пакет DCERPC, также известный как Bug IDs CSCtr21359 и CSCtr27522.
CVE-2010-4680Реализация WebVPN на устройствах Cisco Adaptive Security Appliances (ASA) серии 5500 с программным обеспечением до версии 8.2(3) разрешает просмотр общих ресурсов CIFS даже при отключенном просмотре файлов CIFS, что позволяет удаленным аутентифицированным пользователям обходить предполагаемые ограничения доступа через запросы CIFS, также известной как Bug ID CSCsz80777.
CVE-2010-4675Устройства Cisco Adaptive Security Appliances (ASA) серии 5500 с программным обеспечением до версии 8.2(3) неправильно определяют интерфейсы, для которых должны быть разрешены подключения TELNET, что позволяет удаленным аутентифицированным пользователям обходить предполагаемые ограничения доступа через векторы, связанные с "интерфейсом с самым низким уровнем безопасности", также известной как Bug ID CSCsv40504.
CVE-2022-20759Уязвимость в веб-интерфейсе служб для функций удаленного доступа VPN программного обеспечения Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD) может позволить прошедшему проверку подлинности, но не имеющему привилегий, удаленному злоумышленнику повысить привилегии до уровня 15. Эта уязвимость связана с неправильным разделением областей аутентификации и авторизации. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданные HTTPS-сообщения в веб-интерфейс служб уязвимого устройства. Успешная эксплуатация может позволить злоумышленнику получить доступ к веб-интерфейсу управления устройством с уровнем привилегий 15. Это включает доступ к устройству с уровнем привилегий 15 с помощью инструментов управления, таких как Cisco Adaptive Security Device Manager (ASDM) или Cisco Security Manager (CSM). Примечание. В случае программного обеспечения Cisco FTD влияние меньше, чем предполагает оценка CVSS, поскольку уязвимый веб-интерфейс управления разрешает только доступ для чтения.
CVE-2019-1934Уязвимость в веб-интерфейсе управления Cisco Adaptive Security Appliance (ASA) Software может позволить прошедшему проверку подлинности удаленному злоумышленнику повысить привилегии и выполнять административные функции на затронутом устройстве. Уязвимость связана с недостаточной проверкой авторизации. Злоумышленник может воспользоваться этой уязвимостью, войдя в систему затронутого устройства в качестве пользователя с низкими привилегиями, а затем отправив определенные HTTPS-запросы для выполнения административных функций с использованием информации, полученной во время первоначального входа в систему.
CVE-2019-1713Уязвимость в веб-интерфейсе управления Cisco Adaptive Security Appliance (ASA) Software может позволить не прошедшему проверку подлинности удаленному злоумышленнику провести атаку с подделкой межсайтовых запросов (CSRF) на уязвимую систему. Эта уязвимость связана с недостаточной защитой от CSRF для веб-интерфейса управления на уязвимом устройстве. Злоумышленник может использовать эту уязвимость, убедив пользователя интерфейса перейти по вредоносной ссылке. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия с уровнем привилегий затронутого пользователя. Если пользователь имеет права администратора, злоумышленник может изменить конфигурацию, извлечь информацию или перезагрузить уязвимое устройство.
CVE-2017-3807Уязвимость в коде Common Internet Filesystem (CIFS) в функциональности Clientless SSL VPN программного обеспечения Cisco ASA, основных выпусках 9.0-9.6, может позволить прошедшему проверку подлинности удаленному злоумышленнику вызвать переполнение кучи. Уязвимость вызвана недостаточной проверкой предоставленных пользователем входных данных. Злоумышленник может воспользоваться этой уязвимостью, отправив скомпрометированный URL-адрес в уязвимую систему. Эксплуатация может позволить удаленному злоумышленнику вызвать перезагрузку уязвимой системы или потенциально выполнить код. Примечание: Для эксплуатации этой уязвимости можно использовать только трафик, направленный в уязвимую систему. Эта уязвимость затрагивает системы, настроенные только в режиме маршрутизируемого межсетевого экрана и в режиме одного или нескольких контекстов. Эта уязвимость может быть вызвана трафиком IPv4 или IPv6. Для выполнения атаки необходимо действующее TCP-соединение. Злоумышленнику необходимо иметь действующие учетные данные для входа на портал Clientless SSL VPN. Уязвимое программное обеспечение Cisco ASA, работающее на следующих продуктах, может быть затронуто этой уязвимостью: Cisco ASA 5500 Series Adaptive Security Appliances, Cisco ASA 5500-X Series Next-Generation Firewalls, Cisco Adaptive Security Virtual Appliance (ASAv), Cisco ASA for Firepower 9300 Series, Cisco ASA for Firepower 4100 Series. Идентификаторы ошибок Cisco: CSCvc23838.
CVE-2016-6366Переполнение буфера в Cisco Adaptive Security Appliance (ASA) Software до 9.4.2.3 на устройствах ASA 5500, ASA 5500-X, ASA Services Module, ASA 1000V, ASAv, Firepower 9300 ASA Security Module, PIX и FWSM позволяет удалённым аутентифицированным пользователям выполнять произвольный код через специально созданные пакеты IPv4 SNMP, также известная как Bug ID CSCva92151 или EXTRABACON.
CVE-2017-6607Уязвимость в коде DNS программного обеспечения Cisco ASA может позволить неаутентифицированному удаленному злоумышленнику вызвать перезагрузку уязвимого устройства или повредить информацию, находящуюся в локальном кэше DNS устройства. Уязвимость связана с недостатком обработки специально созданных ответных DNS-сообщений. Злоумышленник может воспользоваться этой уязвимостью, инициировав DNS-запрос из программного обеспечения Cisco ASA и ответив специально созданным ответом. Успешная эксплуатация может привести к перезагрузке устройства, что приведет к отказу в обслуживании (DoS) или повреждению информации локального кэша DNS. Примечание: для эксплуатации этой уязвимости можно использовать только трафик, направленный на уязвимое устройство. Эта уязвимость затрагивает программное обеспечение Cisco ASA, настроенное в режиме маршрутизируемого или прозрачного брандмауэра, а также в режиме одного или нескольких контекстов. Эта уязвимость может быть вызвана трафиком IPv4 и IPv6. Эта уязвимость затрагивает программное обеспечение Cisco ASA, работающее на следующих продуктах: Cisco ASA 1000V Cloud Firewall, Cisco ASA 5500 Series Adaptive Security Appliances, Cisco ASA 5500-X Series Next-Generation Firewalls, Cisco ASA Services Module для коммутаторов Cisco Catalyst 6500 Series и маршрутизаторов Cisco 7600 Series, Cisco Adaptive Security Virtual Appliance (ASAv), Cisco Firepower 9300 ASA Security Module, Cisco ISA 3000 Industrial Security Appliance. Исправленные версии: 9.1(7.12) 9.2(4.18) 9.4(3.12) 9.5(3.2) 9.6(2.2). Идентификаторы ошибок Cisco: CSCvb40898.
CVE-2026-20103Уязвимость в функциональности удалённого доступа SSL VPN программного обеспечения Cisco Secure Firewall Adaptive Security Appliance (ASA) и программного обеспечения Secure Firewall Threat Defense (FTD) может позволить неаутентифицированному удаленному злоумышленнику выбивать память устройства, что приводит к отказу в обслуживании (DoS) до новых VPN-соединений удаленного доступа. Это не влияет на интерфейс управления, хотя он может временно не реагировать.
Эта уязвимость обусловлена доверием к пользовательским вводам без проверки. Злоумышленник может использовать эту уязвимость, отправив созданные пакеты на сервер SSL VPN удаленного доступа. Успешный эксплойт может позволить злоумышленнику заставить веб-интерфейс устройства перестать реагировать, что приведет к состоянию DoS.
CVE-2026-20101Уязвимость в функции SAML 2.0 с одним входом (SSO) Cisco Secure Firewall ASA Software и Secure FTD Software может позволить неаутентифицированному удаленному злоумышленнику неожиданно перезагрузиться, что приведет к созданию состояния DoS.
Эта уязвимость обусловлена недостаточной проверкой ошибок при обработке сообщений SAML. Злоумышленник может использовать эту уязвимость, отправляя созданные сообщения SAML в службу SAML. Успешный эксплойт может позволить злоумышленнику вызвать перезагрузку устройства, что приведет к состоянию DoS.
CVE-2026-20082Уязвимость в обработке ограничений эмбрионального соединения в программном обеспечении Cisco Secure Firewall Adaptive Security Appliance (ASA) может позволить неаутентифицированному удаленному злоумышленнику привести к неправильному увольнению входящих пакетов TCP SYN.
Эта уязвимость обусловлена неправильной обработкой новых входящих TCP-соединений, которые предназначены для управления или интерфейсов данных, когда устройство находится под атакой TCP SYN. Злоумышленник может использовать эту уязвимость, отправив созданный поток трафика на затронутое устройство. Успешный эксплойт может позволить злоумышленнику предотвратить создание всех входящих TCP-соединений с устройством, включая удаленный доступ к управлению, соединения удаленного доступа VPN (RAVPN) и все сетевые протоколы, основанные на TCP. Это приводит к состоянию отказа в обслуживании (DoS) для затронутых функций.
CVE-2026-20039Уязвимость в VPN-сервере программного обеспечения Cisco Secure Firewall Adaptive Security Appliance (ASA) и программного обеспечения Cisco Secure Firewall Threat Defense (FTD) может позволить неаутентифицированному удаленному злоумышленнику вызвать состояние отказа в обслуживании (DoS) на пострадавшем устройстве.
Эта уязвимость обусловлена неэффективным управлением памятью VPN-сервера. Позираатель может использовать эту уязвимость, отправив большое количество HTTP-запросов, созданных на затронутое устройство. Успешный эксплойт может позволить злоумышленнику вызвать перезагрузку устройства, что приведет к состоянию DoS.