- Aktif istismar
- CWE-288
CVE-2023-20269
Cisco ASA ve Firepower Threat Defense VPN özelliğinde yetkisiz erişim zafiyeti
Cisco Adaptive Security Appliance (ASA) SoftwareCisco Firepower Threat Defense Software
- Yayımlandı
- Güncellendi
- 6 Ağu 2026
- Açık yaşı
- 1148 gün
- Kaydı açan
- cisco
ÖzetTürkçe
Cisco Adaptive Security Appliance (ASA) Software ve Cisco Firepower Threat Defense (FTD) Software ürünlerinin uzaktan erişim VPN özelliğindeki bir zafiyet, kimlik doğrulaması yapılmamış uzak bir saldırganın geçerli kullanıcı adı ve parola kombinasyonlarını bulmak amacıyla kaba kuvvet saldırısı gerçekleştirmesine olanak tanıyabilir. Kimlik doğrulaması yapılmış uzak bir saldırgan ise yetkisiz bir kullanıcı adına clientless SSL VPN oturumu kurabilir. Zafiyet, uzaktan erişim VPN özelliği ile HTTPS yönetimi ve siteden siteye VPN özellikleri arasında kimlik doğrulama, yetkilendirme ve hesaplama (AAA) ayrımının yetersiz yapılmasından kaynaklanmaktadır. Saldırgan, kaba kuvvet saldırısı sırasında veya geçerli kimlik bilgileriyle clientless SSL VPN oturumu kurarken varsayılan bağlantı profilini/tünel grubunu belirterek bu zafiyeti sömürebilir. Başarılı bir sömürü, saldırganın aşağıdakilerden bir veya ikisini gerçekleştirmesine olanak tanıyabilir: Yetkisiz bir uzaktan erişim VPN oturumu kurmak için kullanılabilecek geçerli kimlik bilgilerini belirlemek; clientless SSL VPN oturumu kurmak (yalnızca Cisco ASA Software 9.16 sürümünde veya daha eski sürümlerde çalışırken). Notlar: Bu varsayılan bağlantı profillerine/tünel gruplarına IP adresi havuzu yapılandırılmadığı ve yapılandırılamayacağı için istemci tabanlı uzaktan erişim VPN tüneli kurulması mümkün değildir. Bu zafiyet, saldırganın kimlik doğrulamasını atlatmasına izin vermez. Uzaktan erişim VPN oturumunun başarıyla kurulabilmesi için geçerli kimlik bilgileri gerekir; çok faktörlü kimlik doğrulama (MFA) yapılandırılmışsa geçerli ikinci faktör de dahil. Cisco, bu zafiyeti gidermek için yazılım güncellemeleri yayınlayacaktır. Bu zafiyete yönelik geçici çözümler mevcuttur.
Kaynaktaki açıklama (İngilizce)
A vulnerability in the remote access VPN feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to conduct a brute force attack in an attempt to identify valid username and password combinations or an authenticated, remote attacker to establish a clientless SSL VPN session with an unauthorized user.
This vulnerability is due to improper separation of authentication, authorization, and accounting (AAA) between the remote access VPN feature and the HTTPS management and site-to-site VPN features. An attacker could exploit this vulnerability by specifying a default connection profile/tunnel group while conducting a brute force attack or while establishing a clientless SSL VPN session using valid credentials. A successful exploit could allow the attacker to achieve one or both of the following:
Identify valid credentials that could then be used to establish an unauthorized remote access VPN session.
Establish a clientless SSL VPN session (only when running Cisco ASA Software Release 9.16 or earlier).
Notes:
Establishing a client-based remote access VPN tunnel is not possible as these default connection profiles/tunnel groups do not and cannot have an IP address pool configured.
This vulnerability does not allow an attacker to bypass authentication. To successfully establish a remote access VPN session, valid credentials are required, including a valid second factor if multi-factor authentication (MFA) is configured.
Cisco will release software updates that address this vulnerability. There are workarounds that address this vulnerability.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions for group-lock and vpn-simultaneous-logins or discontinue use of the product for unsupported devices.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Cisco Adaptive Security Appliance (ASA) Software | 9.8.1 | – |
| 9.8.1.5 | – | |
| 9.8.1.7 | – | |
| 9.8.2 | – | |
| 9.8.2.8 | – | |
| 9.8.2.14 | – | |
| 9.8.2.15 | – | |
| 9.8.2.17 | – | |
| 9.8.2.20 | – | |
| 9.8.2.24 | – | |
| 9.8.2.26 | – | |
| 9.8.2.28 | – |
ve 234 satır daha
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.