- Aktif istismar
- Yama var
- CWE-20
CVE-2020-3452
Cisco ASA ve FTD Web Servislerinde Dizin Geçişi (Path Traversal) Zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2288 gün
- Kaydı açan
- cisco
ÖzetTürkçe
Cisco Adaptive Security Appliance (ASA) Software ve Cisco Firepower Threat Defense (FTD) Software ürünlerinin web servisleri arayüzünde bir zafiyet bulunmaktadır. Bu zafiyet, kimlik doğrulaması yapılmamış uzaktan bir saldırganın dizin geçişi (directory traversal) saldırıları gerçekleştirerek hedef sistemdeki hassas dosyaları okumasına olanak tanıyabilir. Zafiyet, etkilenen cihazın işlediği HTTP isteklerindeki URL'lerin yeterince doğrulanmamasından kaynaklanmaktadır. Bir saldırgan, dizin geçişi karakter dizileri içeren özel hazırlanmış bir HTTP isteğini etkilenen cihaza göndererek bu zafiyeti istismar edebilir. Başarılı bir istismar, saldırganın hedef cihazdaki web servisleri dosya sistemi içindeki rastgele dosyaları görüntülemesine olanak tanıyabilir. Web servisleri dosya sistemi, etkilenen cihaz WebVPN veya AnyConnect özellikleriyle yapılandırıldığında etkin hale gelmektedir. Bu zafiyet, ASA veya FTD sistem dosyalarına ya da altta yatan işletim sistemi (OS) dosyalarına erişim elde etmek için kullanılamaz.
Kaynaktaki açıklama (İngilizce)
A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to conduct directory traversal attacks and read sensitive files on a targeted system. The vulnerability is due to a lack of proper input validation of URLs in HTTP requests processed by an affected device. An attacker could exploit this vulnerability by sending a crafted HTTP request containing directory traversal character sequences to an affected device. A successful exploit could allow the attacker to view arbitrary files within the web services file system on the targeted device. The web services file system is enabled when the affected device is configured with either WebVPN or AnyConnect features. This vulnerability cannot be used to obtain access to ASA or FTD system files or underlying operating system (OS) files.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Cisco Adaptive Security Appliance (ASA) Software | < 9.6.4.42 | 9.6.4.42 |
| < 9.8.4.20 | 9.8.4.20 | |
| < 9.9.2.74 | 9.9.2.74 | |
| < 9.10.1.42 | 9.10.1.42 | |
| < 9.13.1.10 | 9.13.1.10 | |
| < 9.14.1.10 | 9.14.1.10 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- tools.cisco.com/…urityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86 Üretici bülteni
- packetstormsecurity.com/…8646/Cisco-ASA-FTD-Remote-File-Disclosure.html Diğer
- packetstormsecurity.com/…liance-Software-9.11-Local-File-Inclusion.html Diğer
- packetstormsecurity.com/…523/Cisco-ASA-FTD-9.6.4.42-Path-Traversal.html Diğer
- packetstormsecurity.com/…-ASA-9.14.1.10-FTD-6.6.0.1-Path-Traversal.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.