Cisco ASA 软件多个漏洞 (cisco-sa-20141008-asa)

high Nessus 插件 ID 78240

语言：

简介

远程设备缺少供应商提供的安全修补程序。

描述

远程 Cisco ASA 设备受到以下一个或多个漏洞的影响：

- SQL*NET 检查引擎中存在缺陷，原因是未正确处理 SQL REDIRECT 数据包。攻击者可通过受影响的系统发送构建的 REDIRECT 数据包序列，来利用此漏洞。这可导致设备重新加载。
(CVE-2014-3382)

- IKE 代码中存在缺陷，可允许未经认证的远程攻击者导致设备重新加载。造成此问题的原因是未正确验证 UDP 数据包。(CVE-2014-3383)

- IKEv2 代码中存在缺陷，可允许未经认证的远程攻击者导致设备重新加载。此问题是由于未正确处理构建的 IKEv2 数据包而导致的。(CVE-2014-3384)

- ASDM 功能的健康和性能监控存在缺陷，允许未经认证的远程攻击者导致设备重新加载。此问题是运行 HPM 功能时的争用条件导致的。攻击者可通过向设备发送大量半开放的同时连接来利用此问题。(CVE-2014-3385)

- GPRS 隧道协议检查引擎中存在缺陷，可允许未经认证的远程攻击者导致设备重新加载。此问题是由于未正确处理以特定序列发送的 GTP 数据包而导致的。(CVE-2014-3386)

- SunRPC 检查引擎中存在缺陷，可允许未经认证的远程攻击者导致设备重新加载。此问题是由于未正确验证特别构建的 SunRPC 数据包而导致的。
(CVE-2014-3387)

- DNS 检查引擎中存在缺陷，可允许未经认证的远程攻击者导致受影响的系统重新加载。此问题是由于未正确验证构建的 DNS 数据包而导致的。
(CVE-2014-3388)

- VPN 故障转移组件中存在缺陷，可允许经过认证的远程攻击者向备用单元发送配置命令。造成此问题的原因是未正确实现对于来自所建立的 VPN 隧道的数据包的内部过滤。(CVE-2014-3389)

- VNMC 组件中存在缺陷，允许经过认证的本地攻击者以根用户的身份访问底层操作系统。此问题是对用户提供的输入审查不正确导致的。
(CVE-2014-3390)

- 导出环境变量的函数中存在缺陷，允许经过身份验证的本地攻击者注入任意命令。(CVE-2014-3391)

- 无客户端的 SSL VPN 门户功能中存在缺陷，允许未经认证的远程攻击者访问任意内存。此问题是对用户提供的输入审查不正确导致的。
(CVE-2014-3392)

- 无客户端的 SSL VPN 门户自定义框架中存在缺陷，允许未经认证的远程攻击者修改门户界面的内容。这可导致使用此系统的客户端发生用户凭据泄露、跨站脚本攻击以及其他类型的 Web 攻击。
此问题是由于未正确实现身份验证检查而导致的。(CVE-2014-3393)

- Smart Call Home 功能中存在缺陷，如果在受影响的系统上配置了任何使用数字证书的功能，则此缺陷允许未经认证的远程攻击者绕过数字证书验证。
(CVE-2014-3394)