CVE-2020-3452

概要

Cisco Adaptive Security Appliance (ASA)ソフトウェアおよびCisco Firepower Threat Defense (FTD)ソフトウェアのWebサービスインターフェイスに存在する脆弱性により、認証されていないリモートの攻撃者が、標的のシステム上でディレクトリトラバーサル攻撃を実行し、機密ファイルを読み取る可能性があります。この脆弱性は、影響を受けるデバイスによって処理されるHTTPリクエスト内のURLに対する入力検証が適切に行われていないことに起因します。攻撃者は、ディレクトリトラバーサル文字列を含む巧妙に細工されたHTTPリクエストを影響を受けるデバイスに送信することで、この脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は標的デバイス上のWebサービスファイルシステム内の任意のファイルを閲覧できる可能性があります。Webサービスファイルシステムは、影響を受けるデバイスがWebVPNまたはAnyConnect機能のいずれかで設定されている場合に有効になります。この脆弱性は、ASAまたはFTDのシステムファイルや、基盤となるオペレーティングシステム(OS)ファイルへのアクセスを取得するためには使用できません。

• CVE-2020-3452_Cisco_ASA_PathTraversalPoC

  Cisco ASA/FTD のパストラバーサルである CVE-2020-3452 の概念実証エクスプロイト。認証なしのファイル開示を可能にします。承認されたテスト用に安全制限付きで既知のファイルの抽出を自動化します。

• CVE-2020-3452スキャナー

  CVE-2020-3452 の脆弱性をテストする

• CVE-2020-3452スキャナー

  Cisco Adaptive Security Appliance (ASA)/Firepower Threat Defense (FTD) - ローカルファイルインクルージョン