CVE-2020-3452：Cisco ASA/FTD 任意文件读取漏洞通告-安全客

0x01 漏洞简述

2020年07月23日， 360CERT监测发现 Cisco官方发布了 Cisco ASA 软件和 FTD 软件的 Web 接口存在目录遍历导致任意文件读取的风险通告，该漏洞编号为 CVE-2020-3452，漏洞等级：中危。 Cisco Adaptive Security Appliance (ASA) 和 Cisco Firepower Threat Defense (FTD) 的 web 服务接口存在漏洞，允许未经身份验证的远程攻击者向受影响的设备发送一个精心制作的HTTP请求，成功利用该漏洞的攻击者能够进行目录遍历攻击并读取目标系统上的敏感文件。

该漏洞目前仅影响启用了AnyConnect或WebVPN配置的设备，并且此漏洞不能用于访问ASA或FTD系统文件或底层操作系统(OS)文件。

该漏洞的相关技术细节已公开。

对此，360CERT建议广大用户及时将 Cisco ASA/TFD 安装最新补丁。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	中危
影响面	广泛

0x03 漏洞详情

Cisco Adaptive Security Appliance (ASA) 是为Cisco ASA系列提供支持的核心操作系统，它以多种形式为ASA设备提供企业级防火墙功能。Cisco Firepower Threat Defense (FTD) 是 Cisco 的防火墙产品。

Cisco Adaptive Security Appliance (ASA) 和 Cisco Firepower Threat Defense (FTD) 的 web 服务接口存在漏洞，允许未经身份验证的远程攻击者向受影响的设备发送一个精心制作的HTTP请求，成功利用该漏洞的攻击者能够进行目录遍历攻击并读取目标系统上的敏感文件。

该漏洞目前仅影响启用了AnyConnect或WebVPN配置的设备，并且此漏洞不能用于访问ASA或FTD系统文件或底层操作系统(OS)文件。

0x04 影响版本

Cisco ASA：<= 9.6
Cisco ASA：9.7 , 9.8 , 9.9 , 9.10 , 9.12 , 9.13 , 9.14
Cisco FTD：6.2.2 , 6.2.3 , 6.3.0 , 6.4.0 , 6.5.0 , 6.6.0

易受攻击的配置如下

Cisco ASA：

AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable <interface_name> client-services port <port #>
AnyConnect SSL VPN：webvpn enable <interface_name>
Clientless SSL VPN：webvpn enable <interface_name>

Cisco FTD：

AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable <interface_name> client-services port <port #>
AnyConnect SSL VPN：webvpn enable <interface_name>

0x05 修复建议

通用修补建议：

Cisco ASA：

9.6 版本以前升级到某一修复版本
9.6 版本升级到 9.6.4.42 版本
9.7 版本升级到某一修复版本
9.8 版本升级到 9.8.4.20 版本
9.9 版本升级到 9.9.2.74 版本
9.10 版本升级到 9.10.1.42 版本
9.12 版本升级到 9.12.3.12 版本
9.13 版本升级到 9.13.1.10 版本
9.14 版本升级到 9.14.1.10 版本

Cisco FTD：

6.2.2 版本升级到某一修复版本
6.2.3 版本升级到 6.2.3.16 版本
6.3.0 版本升级到 6.3.0.5(Hot Fix)/6.3.0.6/6.4.0.9(Hot Fix)/6.6.0.1 版本
6.4.0 版本升级到 6.4.0.9(Hot Fix)/6.4.0.10 版本
6.5.0 版本升级到 6.5.0.4(Hot Fix)/6.5.0.5/6.6.0.1 版本
6.6.0 版本升级到 6.6.0.1 版本

Cisco FTD Hot Fix 细节:

6.3.0.5：

Cisco_FTD_Hotfix_AV-6.3.0.6-3.sh.REL.tar          
Cisco_FTD_SSP_Hotfix_AV-6.3.0.6-3.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_AV-6.3.0.6-3.sh.REL.tar

6.4.0.9：

Cisco_FTD_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_BM-6.4.0.10-2.sh.REL.tar

6.5.0.4：

Cisco_FTD_Hotfix_O-6.5.0.5-3.sh.REL.tar          
Cisco_FTD_SSP_FP2K_Hotfix_O-6.5.0.5-3.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_O-6.5.0.5-3.sh.REL.tar  
Cisco_FTD_SSP_Hotfix_O-6.5.0.5-3.sh.REL.tar

要升级到Cisco FTD的修复版本，客户可以执行以下操作之一: