CISCO alerta sobre vulnerabilidade crítica no software de VPN

Vulnerabilidade permite controle remoto do equipamento

CISCO VPN apresenta falha que permite controle remoto do sistema.

A CISCO anunciou nesta segunda, 29 de janeiro, vulnerabilidade em seus sistema de VPN. A falha deixa expostos os sistemas e dispositivos com suporte para redes virtuais privadas (VPNs) configurados com webVPN (VPN SSL sem clientes). O problema foi avaliado como crítico pela companhia e recebeu a pontuação máxima (10) na escala do Sistema de Pontuação de Vulnerabilidade Comum (CVSS, na sigla em inglês), padrão da indústria para avaliar falhas de segurança .

Os principais sistemas afetados são:

  • 3000 Series Industrial Security Appliance (ISA)
  • ASA 5500 Series Adaptive Security Appliances
  • ASA 5500-X Series Next-Generation Firewalls
  • ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
  • ASA 1000V Cloud Firewall
  • Adaptive Security Virtual Appliance (ASAv)
  • Firepower 2100 Series Security Appliance
  • Firepower 4110 Security Appliance
  • Firepower 9300 ASA Security Module
  • Firepower Threat Defense Software (FTD)

Software ASA

A vulnerabilidade afeta dispositivos que rodam versões vulneráveis do CISCO ASA onde a funcionalidade webVPN esteja ativa. Para determinar se a webvpn está ativa o administrador pode usar o comando “show running-config webvpn” e verificar se o comando retirna pelo menos uma linha  “enable <if name>”

por exemplo:

ciscoasa# show running-config webvpn

webvpn

  enable Outside

Para determinar a versão do CISCO ASA o administrador pode usar o comando show version:

ciscoasa# show version | include Version

Cisco Adaptive Security Appliance Software Version 9.2(1)

Device Manager Version 7.4(1)

 

Em seu blog a CISCO explica o problema e alerta que ainda não existe contorno para o problema.

 

Veja também:

 

fonte: Cisco Security Advisory 
 por Kleber Melo - Sócio Diretor da MindSec Segurança e Tecnologia da Informação.
About mindsecblog 345 Articles
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.

Be the first to comment

Deixe sua opinião!