Vulnérabilités dans plusieurs produits Cisco

CVE-2021-1493 [Score CVSS v3 : 8.5] 

Une vulnérabilité dans l'interface des services Web du logiciel Cisco Adaptive Security Appliance (ASA) et du logiciel Cisco Firepower Threat Defense (FTD) a été corrigée. Cette faille est due à une insuffisance des contrôles de limites pour les données spécifiques qui sont fournies à l'interface des services Web d'un système affecté. Son exploitation pourrait permettre à un attaquant distant et authentifié de provoquer un dépassement de tampon mémoire en envoyant une requête HTTP malveillante. Les conséquences de l’exploitation peuvent être un déni de service ou l'exposition de données sensibles.

CVE-2021-1402 [Score CVSS v3 : 8.6] 

Une vulnérabilité dans le gestionnaire de messages SSL/TLS basé sur le logiciel du logiciel Cisco Firepower Threat Defense (FTD)  a été corrigée. Cette faille est due à une validation insuffisante des messages SSL/TLS lorsque le dispositif effectue un décryptage SSL basé sur le logiciel. Son exploitation pourrait permettre à un attaquant distant et non authentifié de provoquer un déni de service en envoyant un message SSL/TLS spécifique.

CVE-2021-1448 [Score CVSS v3 : 7.8] 

Une vulnérabilité dans la CLI du logiciel Cisco Firepower Threat Defense (FTD)  a été corrigée. Cette faille est due à une validation insuffisante des arguments de commande fournis par l'utilisateur. Son exploitation pourrait permettre à un attaquant local et authentifié d'exécuter des commandes arbitraires avec les privilèges de l'administrateur sur le système d'exploitation sous-jacent d'un dispositif affecté qui fonctionne en mode multi-instance.

CVE-2021-1445, CVE-2021-1504 [Score CVSS v3 : 8.6] 

De multiples vulnérabilités dans les logiciels Cisco Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD)  a été corrigée. Ces failles sont dues à l'absence de validation correcte des entrées de la requête HTTPS. Leur exploitation pourraient permettre à un attaquant distant et non authentifié de provoquer un déni de service en envoyant une requête HTTPS modifiée à un dispositif affecté.

CVE-2021-1501 [Score CVSS v3 : 8.6] 

Une vulnérabilité dans le moteur d'inspection SIP des logiciels Cisco Adaptive Security Appliance (ASA) et Cisco Firepower Threat Defense (FTD)  a été corrigée. Cette faille est due à un crash qui se produit lors d'une recherche de hash pour une connexion SIP pinhole. Son exploitation pourrait permettre à un attaquant distant et non authentifié de provoquer un déni de service en envoyant du trafic SIP modifié à travers un dispositif affecté.