SecBoard
Zurück zur CVE-Übersicht

CVE-2020-3259

HIGH(7.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Risk Signal Score70/100 — HOCH
  • CVSS 7.5 — Hoch
  • EPSS 72% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

71.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.5

Technische Schwere

SecBoard-Einordnung

CVE-2020-3259 ist eine Schwachstelle in der Web-Services-Schnittstelle von Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Die Schwachstelle ermöglicht es einem nicht authentifizierten, entfernten Angreifer, Speicherinhalte abzurufen, was zur Offenlegung vertraulicher Informationen führen kann. Sie entsteht durch ein Pufferverfolgungsproblem beim Parsen ungültiger URLs, die über die Web-Services-Schnittstelle angefordert werden. Diese Schwachstelle betrifft nur spezifische AnyConnect- und WebVPN-Konfigurationen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to retrieve memory contents on an affected device, which could lead to the disclosure of confidential information. The vulnerability is due to a buffer tracking issue when the software parses invalid URLs that are requested from the web services interface. An attacker could exploit this vulnerability by sending a crafted GET request to the web services interface. A successful exploit could allow the attacker to retrieve memory contents, which could lead to the disclosure of confidential information. Note: This vulnerability affects only specific AnyConnect and WebVPN configurations. For more information, see the Vulnerable Products section.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV).

Threat-Hunting-Queries

Diese Schwachstelle betrifft Cisco ASA und FTD Geräte mit spezifischen AnyConnect oder WebVPN Konfigurationen. Die Erkennung sollte sich auf ungewöhnliche oder fehlgeschlagene GET-Anfragen an die Web-Services-Schnittstelle konzentrieren, die auf den Versuch hindeuten, Speicherinhalte abzurufen. Da keine spezifischen IOCs (wie bösartige URLs oder Parameter) im Quelltext genannt werden, basieren die

Sentinel/Defender KQL

CiscoASAEvent
| where EventID == "419001" or EventID == "419002" // Beispiel: Fehlgeschlagene WebVPN/AnyConnect-Anmeldungen oder ungewöhnliche Zugriffe
| where Message contains "webvpn" or Message contains "anyconnect" // Fokus auf betroffene Services
| where HttpMethod == "GET" and UrlPath contains ".." or UrlPath contains "%2e%2e" or UrlPath contains "/./" // Beispiel für 'crafted GET request' mit 'invalid URLs'
| summarize count() by DstIP, SrcIP, UrlPath, HttpMethod
| where count_ > 5 // Schwellenwert für ungewöhnliche Aktivitäten
| project DstIP, SrcIP, UrlPath, HttpMethod, count_

Splunk SPL

index=cisco_asa (eventtype=cisco_asa_webvpn OR eventtype=cisco_asa_anyconnect) (http_method=GET AND (url_path="*..*" OR url_path="*%2e%2e*" OR url_path="*/./*"))
| stats count by dest_ip, src_ip, url_path, http_method
| where count > 5
| table dest_ip, src_ip, url_path, http_method, count

Sigma

title: Cisco ASA/FTD Information Disclosure Attempt (CVE-2020-3259)
status: experimental
description: Detects attempts to exploit CVE-2020-3259 in Cisco ASA/FTD devices by looking for crafted GET requests to web services interfaces.
references:
    - https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-info-disclose-9eJtycMB
logsource:
    product: cisco
    service: asa
detection:
    selection:
        event_id: ['419001', '419002'] # Example: Failed WebVPN/AnyConnect logins or unusual access
        message|contains: ['webvpn', 'anyconnect'] # Focus on affected services
        http_method: 'GET'
        url_path|contains: ['..', '%2e%2e', '/./'] # Example for 'crafted GET request' with 'invalid URLs'
    condition: selection
level: high

Elastic ES|QL

from cisco.asa.events
| where event.id in ("419001", "419002") // Example: Failed WebVPN/AnyConnect logins or unusual access
| where message contains "webvpn" or message contains "anyconnect" // Focus on affected services
| where http.request.method == "GET" and (url.path contains ".." or url.path contains "%2e%2e" or url.path contains "/./") // Example for 'crafted GET request' with 'invalid URLs'
| stats count() by destination.ip, source.ip, url.path, http.request.method
| where count > 5
| project destination.ip, source.ip, url.path, http.request.method, count

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*

Referenzen