Vulnérabilités dans des produits Cisco

De multiples vulnérabilités de sévérité élevée ont été découvertes dans plusieurs produits Cisco, société spécialisée dans les équipements réseau. Un attaquant exploitant ces vulnérabilités peut causer un déni de service, lire et modifier des informations sensibles, ou encore contourner des politiques d’authentification.

CVE-2020-3187 [Score CVSS v3 : 9.1] : Une vulnérabilité de type “path traversal” a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut obtenir des accès en lecture et suppression sur des fichiers sensibles contenus dans le système en utilisant des URL HTTP spécialement conçues. 

CVE-2020-3191 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi de paquets DNS IPv6 spécialement conçus.

CVE-2020-3298 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi de paquets OSPF spécialement conçus.

CVE-2020-3254 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi de paquets MGCP spécialement conçus.

CVE-2020-3195 [Score CVSS v3 : 8.6] : Une vulnérabilité liée à une fuite de mémoire a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi d’une série de paquets OSPF spécialement conçue, qui provoque l’épuisement des ressources mémoire de l’appareil.

CVE-2020-3196 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) en ouvrant un grand nombre de connections SSL/TLS remplissant certaines conditions, provoquant l’épuisement des ressources mémoire de l’appareil.

CVE-2020-3283 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi de paquets SSL/TLS spécialement conçus.

CVE-2020-3179 [Score CVSS v3 : 8.6] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) via l’envoi de paquets GRE spécialement conçus.

CVE-2020-3189 [Score CVSS v3 : 8.6] : Une vulnérabilité liée à une fuite de mémoire a été découverte dans les logiciels utilisés par Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (redémarrage inopiné de l’appareil) en créant et supprimant un grand nombre de connections VPN avec l’appareil, provoquant l’épuisement de ses ressources mémoire.

CVE-2020-3125 [Score CVSS v3 : 8.1] : Une vulnérabilité causée par d’insuffisantes vérifications d’identité a été découverte dans les logiciels utilisés par Adaptive Security Appliance. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut contourner les politiques d’authentification de l’appareil via l’usurpation d’un serveur KDC.

CVE-2020-3259 [Score CVSS v3 : 7.5] : Une vulnérabilité de type fuite d’informations a été découverte dans les logiciels utilisés par Adaptive Security Appliance et Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut obtenir des portions de mémoire du système vulnérable, menant à la fuite d’informations potentiellement sensibles.

CVE-2020-3255 [Score CVSS v3 : 7.1] : Une vulnérabilité de type déni de service a été découverte dans les logiciels utilisés par Firepower Threat Defense. Un attaquant distant non-authentifié exploitant cette vulnérabilité peut causer un déni de service (ralentissement de l’appareil) via l’envoi d’une grande quantité de communications IPv4 ou IPv6 remplissant certaines conditions.