CERT-FI haavoittuvuustiedote 129/2008

23.10.2008

Haavoittuvuuksia Cisco PIX- ja ASA-laitteissa


Kohde:	- palvelimet ja palvelinsovellukset - verkon aktiivilaitteet	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Cisco Adaptive Security Appliance (ASA) ja PIX ovat Ciscon palomuurilaitteita. Cisco ASA sisältää palomuurin lisäksi reititys- ja tunkeutumisestojärjestelmä-toiminnallisuuksia. Laitteista on löytynyt neljä haavoittuvuutta. Haavoittuvuus ei vaikuta Cisco Firewall Service Module (FWSM) palomuurimoduleihin.

Ensimmäinen haavoittuvuus liittyy Windows domain-todennusta käyttäviin VPN-järjestelmiin. Haavoittuvuus voi mahdollistaa käyttäjän todennuksen ohittamisen.

Toinen haavoittuvuus on palvelunesto IPv6-pakettien käsittelyssä. Haavoittuvuutta voi hyväksikäyttää lähettämällä laitteelle tietyllä tavalla muotoiltu IPv6-paketti. IPv6-pakettien käsittely ei ole oletusasetuksissa aktivoitu. Lisäksi paketin tulee olla osoitettu laitteen Ipv6-osoitteeseen.

Kolmas haavoittuvuus liittyy muistinvuotoon salauskiihdyttimessä. Tietyllä tavalla muokattujen pakettien lähettäminen saa aikaan palvelunestotilan.

HAAVOITTUVAT OHJELMISTOT:

Haavoittuvuus vaikuttaa seuraaviin PIX- ja ASA-versioihin.

Domain-todennushaavoittuvuus: Versiot 7.0, 7.1, 7.2, 8.0 ja 8.1
IPv6-haavoittuvuus: Versio 7.2
Muistinvuotohaavoittuvuus: Versiot 8.0 ja 8.1

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeen mukaisesti.

LISÄTIETOA:

PÄIVITYSHISTORIA:

23.10.2008, kello 20.20: Julkaistu

Sivua päivitetty 23.10.2008

Tulostusversio