CVE-2023-20269
Mis à jour :
Voici un aperçu des informations relatives à la vulnérabilité CVE-2023-20269.
Titre : Exploitation de la faille VPN Cisco : Brute-force et accès non autorisé
Points clés :
- Description : Une vulnérabilité affecte les fonctionnalités VPN d’accès distant des logiciels Cisco Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD). Elle découle d’une mauvaise séparation entre les mécanismes d’authentification, d’autorisation et de comptabilité (AAA) pour la fonction VPN d’accès distant, d’une part, et les fonctions de gestion HTTPS et VPN site à site, d’autre part.
- Exploitation active : Des groupes de ransomware exploitent activement cette vulnérabilité.
- Impact : Un attaquant non authentifié et distant peut tenter d’identifier des combinaisons valides de nom d’utilisateur et de mot de passe via des attaques par force brute. Un attaquant authentifié peut établir une session VPN SSL sans client avec un utilisateur non autorisé.
- Prérequis : L’exploitation peut nécessiter des conditions spécifiques, comme la présence d’un utilisateur configuré avec un mot de passe dans la base de données locale, ou une authentification de gestion HTTPS pointant vers un serveur AAA valide. Dans ce dernier cas, l’attaquant a besoin de références valides.
- Nature de l’exploitation : La vulnérabilité ne permet pas de contourner l’authentification ; des identifiants valides sont toujours requis, y compris un second facteur si l’authentification multifacteur (MFA) est configurée.
Vulnérabilités :
- CVE : CVE-2023-20269
- Nom CISA : Cisco Adaptive Security Appliance and Firepower Threat Defense Unauthorized Access Vulnerability
Scores de risque (CVSS 3.1) :
- Score de base : 9.1 (Critique)
- Chaîne vectorielle : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Recommandations et mesures (basées sur CISA) :
- Appliquer les atténuations fournies par le fournisseur pour le verrouillage des groupes (“group-lock”) et les connexions VPN simultanées (“vpn-simultaneous-logins”).
- Envisager d’arrêter l’utilisation du produit pour les appareils non pris en charge.