CERT-FI haavoittuvuustiedote 025/2009

10.4.2009

Haavoittuvuuksia Cisco PIX- ja ASA-laitteissa


Kohde:	- verkon aktiivilaitteet	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Cisco Adaptive Security Appliance (ASA) ja PIX ovat Ciscon palomuurilaitteita. Cisco ASA sisältää palomuurin lisäksi reititys- ja tunkeutumisestojärjestelmä-toiminnallisuuksia.

HTTP-, TCP-, H.323- ja SQL*Net-pakettien käsittelyssä on havaittu palvelunestohyökkäyksen mahdollistava haavoittuvuus. Haavoittuvuuksia voi hyväksikäyttää lähettämällä yksittäisiä räätälöityjä paketteja väärennetystä lähdeosoitteesta. H.323- ja SQL*Net-haavoittuvuuksien hyväksikäytön edellyksenä on se, että näitten pakettien tarkastus on kytketty päälle (vakio). HTTP(S)-haavoittuvuutta on mahdollista hyväksikäyttää sellaisissa liitännöissä, joissa Cisco Adaptive Security Device Manager-toiminto on kytketty päälle.

VPN-todennuksesta on löytynyt haavoittuvuus, jonka avulla se voidaan ohittaa. Hyväksikäytön onnistuminen vaatii 'Override Account Disabled'-option päälläolon (ei vakiona).

ACL-listojen ohitukseen liittyvän haavoittuvuuden avulla voidaan ohittaa palomuurisäännöt, jos sääntöjen viimeiseksi ei ole määritelty erikseen liikenteen oletusarvoisesti kieltävää sääntöä.

HAAVOITTUVAT OHJELMISTOT:

Cisco ASA- ja PIX-laitteet

Tarkemmat tiedot haavoittuvista ohjelmistoversioista löytyvät laitevalmistajan tiedotteesta.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä laitteiden ohjelmistot. Osaan haavoittuvuuksista on laitevalmistajan tiedotteesta löytyvä rajoitusmahdollisuus.

LISÄTIETOA:

PÄIVITYSHISTORIA:

10.4.2009, kello 19.46: Julkaistu

Sivua päivitetty 10.04.2009

Tulostusversio