Cisco ASA 无客户端 SSL VPN 功能 CIFS RCE (cisco-sa-20170208-asa)

high Nessus 插件 ID 97211

语言：

简介

远程设备缺少供应商提供的安全修补程序。

描述

根据其自我报告的版本和配置，由于未正确验证用户提供的输入，远程设备上运行的 Cisco 自适应安全设备 (ASA) 软件受到无客户端 SSL VPN 功能中 CIFS （公共互联网文件系统）代码的堆溢出情况的影响。经身份验证的远程攻击者可利用此问题，通过特制的 URL 导致设备重新加载或执行任意代码。请注意，仅被定向至受影响系统的流量才能用来对此问题进行恶意利用，这仅影响配置为路由防火墙模式以及单个或多个环境模式的系统。需要有效 TCP 连接来发动攻击。此外，攻击者需要有效凭证才能登录到无客户端 SSL VPN 门户。该漏洞可由 IPv4 或 IPv6 流量触发。

解决方案

升级到 Cisco 安全公告 cisco-sa-20170208-asa 中所述的相关已修复版本。或者，作为变通方案，可以使用 webtype 访问列表阻止攻击型 URL，可通过以下步骤来执行: 1.配置 webtype 访问列表：access-list bugCSCvc23838 webtype deny url https://<asa_ip_address>/+webvpn+/CIFS_R/* access-list bugCSCvc23838 webtype permit url https://* access-list bugCSCvc23838 webtype permit url cifs://*2.使用 'filter value <webtype_acl_name>' 命令在组策略中应用访问列表：group-policy Clientless attributes webvpn filter value bugCSCvc23838