SecBoard
Zurück zur CVE-Übersicht

CVE-2020-3187

CRITICAL(9.1)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Risk Signal Score52/100 — HOCH
  • CVSS 9.1 — Kritisch
  • EPSS 97% — sehr wahrscheinlich ausgenutzt

EPSS-Score

96.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.1

Technische Schwere

SecBoard-Einordnung

Die CVE-2020-3187 betrifft eine Schwachstelle im Web-Services-Interface der Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Es handelt sich um eine Directory-Traversal-Schwachstelle, die einem nicht authentifizierten, entfernten Angreifer Lese- und Löschzugriff auf sensible Dateien im Web-Services-Dateisystem ermöglichen kann. Die Ursache ist eine unzureichende Validierung von HTTP-URLs, wobei ein Angreifer manipulierte HTTP-Anfragen senden kann, um beliebige Dateien im Web-Services-Dateisystem anzuzeigen oder zu löschen. Diese Schwachstelle kann nicht für den Zugriff auf ASA- oder FTD-Systemdateien oder zugrunde liegende Betriebssystemdateien genutzt werden, und gelöschte Dateien werden nach einem Geräteneustart wiederhergestellt.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to conduct directory traversal attacks and obtain read and delete access to sensitive files on a targeted system. The vulnerability is due to a lack of proper input validation of the HTTP URL. An attacker could exploit this vulnerability by sending a crafted HTTP request containing directory traversal character sequences. An exploit could allow the attacker to view or delete arbitrary files on the targeted system. When the device is reloaded after exploitation of this vulnerability, any files that were deleted are restored. The attacker can only view and delete files within the web services file system. This file system is enabled when the affected device is configured with either WebVPN or AnyConnect features. This vulnerability can not be used to obtain access to ASA or FTD system files or underlying operating system (OS) files. Reloading the affected device will restore all files within the web services file system.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Erkennung von Directory Traversal-Angriffen auf Cisco ASA/FTD Web Services. Sucht nach HTTP-Anfragen mit Pfad-Traversal-Sequenzen wie '../' oder '%2e%2e%2f' in der URL, die auf WebVPN- oder AnyConnect-Endpunkte abzielen. Die genauen Pfade können je nach Konfiguration variieren.

Sentinel/Defender KQL

DeviceNetworkEvents
| where ActionType == "HttpRequest" and RemoteUrl has_any ("../", "%2e%2e%2f", "%252e%252e%252f")
| where RemoteUrl contains "/+" or RemoteUrl contains "/CSCOSSLC/sdesktop/" or RemoteUrl contains "/CSCOSSLC/portal/" // Beispielpfade für WebVPN/AnyConnect
| project TimeGenerated, DeviceName, RemoteUrl, InitiatingProcessFileName, InitiatingProcessCommandLine

Splunk SPL

index=* sourcetype=cisco:asa OR sourcetype=cisco:ftd (http_url="*../*" OR http_url="*%2e%2e%2f*" OR http_url="*%252e%252e%252f*") (http_url="*/+" OR http_url="*/CSCOSSLC/sdesktop/*" OR http_url="*/CSCOSSLC/portal/*")

Sigma

title: Cisco ASA FTD Web Services Path Traversal
id: 9a1b2c3d-4e5f-6a7b-8c9d-0e1f2a3b4c5d
status: experimental
description: Detects attempts to exploit CVE-2020-3187 against Cisco ASA/FTD web services.
references:
  - https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-path-JE3azWw43
logsource:
  category: webserver
  product: cisco_asa
  service: http
detection:
  selection:
    url|contains:
      - '../'
      - '%2e%2e%2f'
      - '%252e%252e%252f'
  condition: selection
fields:
  - url
  - source_ip
  - destination_ip
level: high

Elastic ES|QL

FROM logs-cisco.asa.*, logs-cisco.ftd.*
| WHERE http.request.url.path : ("*../*", "*%2e%2e%2f*", "*%252e%252e%252f*")
| WHERE http.request.url.path : ("*/+*", "*/CSCOSSLC/sdesktop/*", "*/CSCOSSLC/portal/*")
| SELECT @timestamp, host.name, http.request.url.path, source.ip, destination.ip

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5505_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5510_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5512-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5515-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5520_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5525-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5540_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5545-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5550_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5555-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5580_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:asa_5585-x_firmware:9.6\(4\):*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*

Referenzen