云安全日报201023：思科自适应安全设备软件和威胁防御软件发现高危漏洞，需要尽快升级

原标题：云安全日报201023：思科自适应安全设备软件和威胁防御软件发现高危漏洞，需要尽快升级

Cisco ASA是思科其中的一套防火墙和网络安全平台，主要用于工业交换机，路由器等安全设备。Cisco FTD是思科其中的一个威胁防御安全软件，主要用于工业防火墙设备。

根据思科(Cisco)10月23日安全公告显示，思科自适应安全设备（ASA）软件和思科Firepower威胁防御（FTD）软件爆出6个高危漏洞，需要尽快升级。以下是漏洞详情：

漏洞详情

1.CVE-2020-3554 CVSS评分：8.6 高

Cisco自适应安全设备（ASA）软件和Cisco Firepower威胁防御（FTD）软件的TCP数据包处理中的漏洞可能允许未经身份验证的远程攻击者在受影响的设备上导致拒绝服务（DoS）。

该漏洞是由于内存耗尽情况引起的。攻击者可以通过从受影响的设备发送大量精心制作的TCP通信来利用此漏洞。成功的利用可能使攻击者耗尽设备资源，从而导致DoS条件，从而导致流量在受影响的设备之间传输。

2.CVE-2020-3373 CVSS评分：8.6 高

该漏洞是由于IP片段重组期间发生特定故障时错误的错误处理引起的。攻击者可以通过将特制的零碎IP流量发送到目标设备来利用此漏洞。成功的利用可能使攻击者连续消耗受影响设备上的内存并最终影响流量，从而导致拒绝服务(Dos)。设备可能需要手动重新启动才能从DoS状态恢复。

3.CVE-2020-3436 CVSS评分：8.6 高

该漏洞是由于受影响的软件无法有效地将大文件写入本地文件系统上的特定文件夹。攻击者可以通过将文件上传到那些特定的文件夹来利用此漏洞。成功利用此漏洞可能会使攻击者编写文件来触发看门狗超时，这将导致设备意外重新加载，从而导致拒绝服务（DoS）。

4.CVE-2020-3304 CVSS评分：8.6 高

该漏洞是由于缺乏对HTTP请求的正确输入验证所致。攻击者可以通过向受影响的设备发送特制的HTTP请求来利用此漏洞。漏洞利用可能使攻击者造成拒绝服务（DoS）。

5.CVE-2020-3529 CVSS评分：8.6 高

该漏洞是由于SSL VPN连接的协商阶段中直接内存访问（DMA）内存管理效率低下所致。攻击者可以通过向受影响的设备发送稳定的精心制作的数据报TLS（DTLS）通信流来利用此漏洞。成功利用该漏洞可能使攻击者耗尽设备上的DMA内存并导致拒绝服务（DoS）。

6.CVE-2020-3528 CVSS评分：8.6 高

该漏洞是由于当受影响的软件使用链路本地信令（LLS）数据处理某些OSPFv2数据包时，输入验证不完整所致。攻击者可以通过将格式错误的OSPFv2数据包发送到受影响的设备来利用此漏洞。成功的利用可能使攻击者重新加载受影响的设备，从而导致拒绝服务（DoS）。

受影响产品

上述漏洞主要影响思科自适应安全设备（ASA）软件和思科Firepower威胁防御（FTD）软件多个版本(不同漏洞影响不同软件版本及设备)，具体可以参看官网了解。

解决方案

思科已经发布了解决此漏洞的软件更新(对于不同软件和版本，修复方案不同)，具体更新修复方案可以参看官网。以下是重要说明：

1.对购买了许可证的软件版本和功能集提供支持，通过安装，下载，访问或以其他方式使用此类软件升级。

2.从思科或通过思科授权的经销商或合作伙伴购买的，具有有效许可证的软件可获得维护升级。

3.直接从思科购买但不持有思科服务合同的客户以及通过第三方供应商进行购买但未通过销售点获得修复软件的客户应通过联系思科技术支持中心获得升级。

4.客户应拥有可用的产品序列号，并准备提供上述安全通报的URL，以作为有权免费升级的证据。

查看更多漏洞信息 以及升级修复请访问官网：

https://tools.cisco.com/security/center/publicationListing.x

海量资讯、精准解读，尽在新浪财经APP