云安全日报220519：思科安全设备和威胁防御软件发现权限提升漏洞,需要尽快升级

Cisco ASA是思科其中的一套防火墙和网络安全平台，主要用于工业交换机，路由器等安全设备。Cisco FTD是思科其中的一个威胁防御安全软件，主要用于工业防火墙设备。

5月17日,思科公司发布了云安安全更新，修复了自适应安全设备（ASA）软件和Firepower威胁防御（FTD）软件中发现的权限提升漏洞。以下是漏洞详情：

漏洞详情

来源：https://tools.cisco.com/secur全日ity/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-mgmt-privesc-BMFMUvye

1.CVE-2022-20759 CVS报2S评分：8.8 高

思科自适应安全设备 (ASA) 软件和思科 Firepower 威胁防御 (FTD) 软件的远程访问 VPN 功能的 Web 服务界面中存在一个漏洞，该漏洞可能允许经过身份验证但没有特权的远程攻击者将20特权提升到15级。

此漏洞是由于身份验证和授权范围分离不当造成的。攻击者可以通过向受影响设备的 Web 服务接口发送精心制作的 HTTPS 消息来利用此漏洞。成功的利用可以让攻击者获得对设备 Web 管理界面的 1551 级访问权限。这包括使用思科自适应安全设备管理器 (ASDM) 或思科安全管理器 (CSM) 等管理工具对设备进行15级访问。

受影响产品

如果 Cisco 产品运行易受攻击的 Cisco ASA 软件或 Cisco FTD9： 软件版本，并且至少以下条件之一为真，则此漏洞会影响 Cisco 产品(默认情况下，思科 ASA 软件或思科 FTD 软件均未启用这些功能)：

HTTPS 管理访问和 IKEv2 客户端服务都在至少一个（不一定相同）接口思科上启用

HTTPS 管理访问和 WebVPN 都在至少一个（不一定相同）接口上启用

解决方案

思科ASA软件

Cisco ASA 软件版本 9.7 及更早版本以及版本 9.9、9.10 和 9.13 已结束软件维护。建议客户迁移升级安全到包含此漏洞修复程序的受支持版本。

Cisco ASA 软件版本 9.8 升级至9.8.4.43或移升级到包含此漏洞修复程序的受支持版本可修复

Cisco ASA 软件版本 9.12 升级至9.12.4.38可修复

C设备isco ASA 软件版本 9.14 升级至9.14.4可修复

Cisco ASA 软件版本 9.15 升级至9.15.1.21可修复

Cisco ASA 软件版本 9.16 升级至9.16.2.14可修复

Cisco AS和威A 软件版本 9.8 升级至9.17.7可修复

思科FTD软件

Cisco FMC 和 FTD 软件版本 6.2.2 及更早版本，以及版本 6.3.0 和 6.5.0，软件维护已结束。建议客户迁移升级到包含此漏洞修复程序的胁防受支持版本。

Cisco FTD 软件版本 6.4.0 升级至6.4.0.15（2022 年 5 月）可修复

Cisco FTD 软件版本 6.6.0 升级至6.6.5.2 可修复

Cisco FTD 软件版本 6.7.0 移升级御软到包含此漏洞修复程序的受支持版本

Cisco FTD 软件版本 7.0.0 升级至7.0.2（2022 年 5 月）可修复

Cisco FTD 软件版本 7.1.0 升级至7.1.0.1可修复

查看更多漏洞信息 以及升级请访件发问官网：

https://tools.cisco.com/security/center/publicationListing.x