SecBoard
Zurück zur CVE-Übersicht

CVE-2024-20359

MEDIUM(6.0)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Risk Signal Score51/100 — HOCH
  • CVSS 6 — Mittel
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

19.4%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

6

Technische Schwere

SecBoard-Einordnung

CVE-2024-20359 ist eine Schwachstelle in einer Legacy-Funktion der Cisco Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat Defense (FTD) Software. Sie ermöglichte das Vorladen von VPN-Clients und Plug-ins. Die Schwachstelle beruht auf einer unsachgemäßen Validierung einer Datei beim Lesen aus dem System-Flash-Speicher und kann einem authentifizierten, lokalen Angreifer mit Administratorrechten die Ausführung von beliebigem Code mit Root-Privilegien ermöglichen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in a legacy capability that allowed for the preloading of VPN clients and plug-ins and that has been available in Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an authenticated, local attacker to execute arbitrary code with root-level privileges. Administrator-level privileges are required to exploit this vulnerability. This vulnerability is due to improper validation of a file when it is read from system flash memory. An attacker could exploit this vulnerability by copying a crafted file to the disk0: file system of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the affected device after the next reload of the device, which could alter system behavior. Because the injected code could persist across device reboots, Cisco has raised the Security Impact Rating (SIR) of this advisory from Medium to High.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Die Schwachstelle wurde von einem als UAT4356 (Talos) oder STORM-1849 (Microsoft) verfolgten, staatlich gesponserten Akteur im Rahmen der "ArcaneDoor"-Kampagne ausgenutzt. Dieser Akteur nutzte maßgeschneiderte Tools, um Malware zu implantieren und Befehle auszuführen, einschließlich Konfigurationsänderungen, Aufklärung, Netzwerkverkehrserfassung/-exfiltration und poten

Threat-Hunting-Queries

Die Schwachstelle ermöglicht einem authentifizierten, lokalen Angreifer mit Administrator-Privilegien die Ausführung von beliebigem Code mit Root-Rechten, indem eine manipulierte Datei in das disk0:-Dateisystem kopiert wird. Die Erkennung sollte sich auf ungewöhnliche Dateischreibvorgänge im disk0:-Dateisystem und nachfolgende unerwartete Prozessstarts oder Systemänderungen nach einem Neustart kon

Sentinel/Defender KQL

DeviceFileEvents
| where FolderPath contains "disk0:" and InitiatingProcessAccountName has_any ("admin", "root") // Adjust based on actual admin accounts
| where ActionType == "FileCreated" or ActionType == "FileModified"
| summarize count() by FileName, FolderPath, InitiatingProcessCommandLine, InitiatingProcessAccountName, DeviceName
| where count_ > 1 // Look for multiple file modifications or creations by admin in disk0:
| project-rename PotentialMaliciousFileActivity = count_

Splunk SPL

index=cisco_asa OR index=cisco_ftd (sourcetype=syslog OR sourcetype=cisco:asa OR sourcetype=cisco:ftd) "disk0:" (file_created OR file_modified) (user=admin OR user=root) 
| stats count by filename, filepath, user, host 
| where count > 1

Sigma

title: Cisco ASA/FTD Local Code Execution Attempt
author: SecBoard
date: 2024/07/25
modified: 2024/07/25
logsource:
  product: cisco
  service: asa_ftd
detection:
  selection:
    - message|contains: 'disk0:'
    - message|contains: 'file created'
    - message|contains: 'file modified'
    - message|contains: 'user:admin'
    - message|contains: 'user:root'
  condition: selection
  timeframe: 1h
level: high

Elastic ES|QL

FROM cisco.asa.log OR cisco.ftd.log
| WHERE message : "disk0:" AND (message : "file created" OR message : "file modified") AND (message : "user:admin" OR message : "user:root")
| GROUP_BY file.name, file.path, user.name, host.name
| HAVING COUNT() > 1

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.1:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.1.5:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.1.7:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.8:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.14:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.15:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.17:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.20:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.24:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.26:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.28:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.33:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.35:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.2.38:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.3:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.3.8:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.3.11:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.3.14:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.8.3.16:*:*:*:*:*:*:*

Referenzen