Vulnérabilité dans Cisco AnyConnect Secure Mobility Client
Date de publication :
Une vulnérabilité a été découverte dans Cisco AnyConnect Secure Mobility Client pour Windows. Elle peut permettre à un attaquant local et authentifié de provoquer une exécution de code arbitraire avec les privilèges de l’utilisateur SYSTEM.
CVE-2020-3433 [Score CVSS v3 : 7.8] : Une vulnérabilité a été découverte dans le tunnel de communication inter-process de Cisco AnyConnect Secure Mobility Client pour Windows et peut permettre à un attaquant local et authentifié d’effectuer une attaque de type “DLL hijacking”. Elle est due à une validation incorrecte des ressources qui sont chargées par l’application lors qu’elle est en cours d’exécution. Une exploitation réussie de cette vulnérabilité peut permettre à un attaquant d’exécuter du code arbitraire avec les privilèges de l’utilisateur SYSTEM.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Exécution de code arbitraire avec des privilèges élevés
Criticité
Score CVSS v3 : 7.8
Existence d’un code d’exploitation
Selon Cisco, des preuves de concept sont disponibles pour cette vulnérabilité
Composants vulnérables
Cisco AnyConnect Secure Mobility Client pour Windows toutes versions avant la 4.9.00086
Les versions pour MacOS, Linux, iOS, Android ne sont pas affectées
CVE
CVE-2020-3433
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour Cisco AnyConnect Secure Mobility Client pour Windows vers une version non vulnérable (4.9.00086 ou supérieure)
Solution de contournement
Aucune solution de contournement