CVE-2023-20269

Vulnérabilité Critique Affectant les VPN Cisco

Une faille de sécurité, identifiée sous la référence CVE-2023-20269, impacte les fonctionnalités VPN d’accès à distance des logiciels Cisco Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD). Cette vulnérabilité résulte d’une séparation inadéquate entre les mécanismes d’authentification, d’autorisation et de comptabilité (AAA) utilisés pour le VPN d’accès à distance et ceux des interfaces de gestion HTTPS et VPN intersites.

Points Clés

• Nature de la faille : Mauvaise gestion de l’AAA entre différentes fonctionnalités VPN et de gestion.
• Exploitabilité : L’exploitation peut prendre deux formes principales :
  • Une attaque par force brute par un acteur non authentifié pour deviner des identifiants valides.
  • La création d’une session VPN SSL sans client par un acteur authentifié avec des identifiants non autorisés.
• Conditions d’exploitation : Nécessite la présence d’au moins un utilisateur avec un mot de passe dans la base de données locale, ou que l’authentification de la gestion HTTPS soit configurée pour un serveur AAA valide. Des identifiants valides sont requis dans ce dernier cas.
• Impact : Permet de découvrir des identifiants valides pour des accès VPN non autorisés ou d’établir des sessions VPN SSL sans client (uniquement pour les versions Cisco ASA antérieures à 9.16).
• Absence de contournement d’authentification : La faille ne permet pas de contourner l’authentification. Des identifiants valides sont toujours nécessaires pour établir une session VPN.
• Exploitation active : Des groupes de rançongiciels exploitent activement cette vulnérabilité.
• Score CVSS 3.1 : 9.1 (Critique)
  • Vecteur : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
• Inclusion dans le catalogue CISA : La vulnérabilité est référencée par CISA comme étant exploitée activement.

Vulnérabilités Spécifiques (CVE)

• CVE-2023-20269

Recommandations

Cisco a publié des mises à jour logicielles pour corriger cette vulnérabilité. Des solutions de contournement sont également disponibles. Il est impératif d’appliquer ces correctifs ou de mettre en œuvre les contournements recommandés par Cisco, notamment les configurations “group-lock” et “vpn-simultaneous-logins”, ou de cesser l’utilisation des produits non supportés.

Source