Cisco ASA ソフトウェアの複数の脆弱性（cisco-sa-20141008-asa）

high Nessus プラグイン ID 78240

Language:

概要

リモートデバイスに、ベンダーが提供したセキュリティパッチがありません。

説明

リモートの Cisco ASA デバイスは、以下の脆弱性の 1 つ以上の影響を受けます。

- SQL*NET Inspection Engine に、SQL REDIRECT パケットの不適切な処理による欠陥が存在します。攻撃者がこの脆弱性を悪用して、影響を受けるシステムを通じて細工された REDIRECT パケットのシーケンスを送信する可能性があります。これは、デバイスのリロードを引き起こす可能性があります。
（CVE-2014-3382）

- IKE コードに、認証されていないリモートの攻撃者がデバイスをリロードさせることを可能にする可能性がある欠陥が存在します。この問題は、UDPパケットの不適切な検証によるものです。（CVE-2014-3383）

- IKEv2 コードに、認証されていないリモートの攻撃者がデバイスをリロードさせることを可能にする可能性がある欠陥が存在します。この問題は、細工されたIKEv2パケットの不適切な処理により引き起こされます。（CVE-2014-3384）

- ASDM 機能用の Health and Performance Monitoring に、認証されていないリモートの攻撃者が、デバイスのリロードを引き起こすことを可能にする欠陥が存在します。この問題は、HPM 機能のオペレーションの競合状態によって引き起こされます。攻撃者が、大量の半開きの同時接続をデバイスに送信することでこれを悪用できる可能性があります。（CVE-2014-3385）

- GPRS Tunneling Protocol Inspection Engine に、認証されていないリモートの攻撃者が、デバイスのリロードを引き起こすことを可能にする可能性がある欠陥が存在します。この問題は、特定のシーケンスで送信されたときのGTPパケットの不適切な処理によって引き起こされます。（CVE-2014-3386）

- SunRPC Inspection Engine に、認証されていないリモートの攻撃者が、デバイスのリロードを引き起こすことを可能にする可能性がある欠陥が存在します。この問題は、特別に細工された SunRPC パケットの不適切な検証により引き起こされます。
（CVE-2014-3387）

- DNS Inspection Engine に、認証されていないリモートの攻撃者が、影響を受けるシステムのリロードを引き起こすことを可能にする可能性がある欠陥が存在します。この問題は、細工された DNS パケットの不適切な検証により引き起こされます。
（CVE-2014-3388）

- VPN フェイルオーバーコンポーネントに欠陥が存在します。これにより、認証されたリモートの攻撃者が、構成コマンドをスタンバイユニットに送信する可能性があります。これは、確立されたVPNトンネルから来るパケットの内部フィルターの不適切な実装によって引き起こされます。（CVE-2014-3389）

- VNMC コンポーネントに欠陥が存在します。これにより、認証されたローカルの攻撃者が、root ユーザーとして下層のオペレーティングシステムにアクセスする可能性があります。この問題はユーザー指定入力の不適切なサニタイズにより引き起こされます。
（CVE-2014-3390）

- 環境変数をエクスポートする関数に欠陥が存在します。これにより、認証されたローカルの攻撃者が、任意のコマンドを注入する可能性があります。（CVE-2014-3391）

- Clientless SSL VPN Portal 機能に欠陥が存在します。認証されていないリモートの攻撃者が、任意のメモリにアクセスする可能性があります。この問題はユーザー指定入力の不適切なサニタイズにより引き起こされます。
（CVE-2014-3392

- Clientless SSL VPN Portal カスタマイズフレームワークに欠陥が存在します。認証されていないリモートの攻撃者が、ポータルインターフェイスのコンテンツを変更する可能性があります。これは、ユーザー認証情報の漏洩、クロスサイトスクリプティング攻撃、およびシステムを使用するクライアントに対するその他の種類の Web 攻撃につながる可能性があります。
これは、認証チェックの不適切な実装によって引き起こされます。（CVE-2014-3393）

- Smart Call Home 機能に欠陥が存在します。これにより、デジタル証明書を使用する何らかの機能が影響を受けるシステム上で構成されている場合に、認証されていないリモートの攻撃者が、デジタル証明書の検証をバイパスする可能性があります。
（CVE-2014-3394）