Vulnérabilité dans les logiciels Cisco ASA et Cisco FTD

Date de publication :

Une vulnérabilité a été corrigée par le fournisseur Cisco en Novembre 2019. Le bulletin de sécurité la concernant a été mis à jour car il a été découvert que cette vulnérabilité, en plus d'impacter le logiciel Cisco FTD, affecte également le logiciel Cisco ASA.

CVE-2019-15992[Score CVSS v3 : 7.2] : Une vulnérabilité dans l'interpréteur du langage Lua implémenté dans certains logiciels Cisco a été corrigée. Un attaquant distant et non-authentifié peut potentiellement exploiter cette faille afin d'injecter du code arbitraire avec les privilèges racines sur le système d’exploitation Linux sous-jacent.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection de code arbitraire

Criticité

  • Score CVSS v3 : 7.2

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’existe publiquement à l’heure actuelle.

Composants vulnérables

  • Les versions de Cisco ASA de v9.4 à v9.15 sont impactées par cette vulnérabilité.

Pour le logiciel Cisco FTD, le vecteur d’attaque ne provient pas d’un composant interne au logiciel mais du logiciel Cisco FMC.

  • Les versions de Cisco FMC antérieures à la version 6.3.0 ainsi que les versions 6.3.0, 6.4.0 et 6.5.0 non-patchées sont impactées par cette vulnérabilité.

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour les logiciels Cisco concernés conformément aux instructions de l’avis de sécurité en référence de ce bulletin.

Solution de contournement

  • Aucune solution de contournement n’est proposée publiquement à l’heure actuelle.

Liens