CVE-2023-20269

Accès VPN non autorisé sur les dispositifs Cisco

Une faille de sécurité, portant le numéro CVE-2023-20269, affecte les fonctions VPN d’accès à distance des logiciels Cisco Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD). Elle résulte d’une séparation inadéquate des mécanismes d’authentification, d’autorisation et de comptabilité (AAA) entre la fonction VPN d’accès à distance et les fonctionnalités de gestion HTTPS ainsi que les VPN site-à-site.

Points Clés :

• Nature de la vulnérabilité : Mauvaise gestion des AAA entre différentes fonctions VPN et de gestion.
• Activité malveillante : Des groupes de rançongiciels exploitent activement cette vulnérabilité.
• Impact : Permet potentiellement à un attaquant non authentifié de deviner des identifiants valides par force brute, ou à un attaquant authentifié d’établir une session VPN SSL sans interface graphique avec un utilisateur non autorisé.
• Exigences d’exploitation : Nécessite des conditions spécifiques, comme la présence d’un utilisateur avec un mot de passe dans la base de données locale, ou que l’authentification HTTPS pointe vers un serveur AAA valide. Pour l’exploitation authentifiée, des identifiants valides sont requis.
• Limitations : L’exploitation ne permet pas de contourner l’authentification. Une connexion VPN d’accès à distance basée sur un client n’est pas possible, et l’utilisation d’un second facteur d’authentification, s’il est configuré, reste obligatoire.

Vulnérabilité :

• CVE : CVE-2023-20269
• Description : Cisco Adaptive Security Appliance and Firepower Threat Defense Unauthorized Access Vulnerability
• Score CVSS 3.1 : 9.1 (Critique)
  • Vector : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Recommandations :

• Cisco publiera des mises à jour logicielles pour corriger cette vulnérabilité.
• Des solutions de contournement sont disponibles et doivent être appliquées. Celles-ci incluent la configuration du verrouillage de groupe et la limitation des connexions VPN simultanées.
• Pour les appareils non pris en charge, envisagez de cesser leur utilisation.

Source