CVE-2022-20828

高已发布

Cisco FirePOWER Software for ASA FirePOWER Module 命令注入漏洞

已发布: 2022年6月24日
已更新: 2024年11月1日
分配 CNA: cisco
观察到的证据: 2026年8月16日

初级CVSS

7.2/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

EPSS概率估计

49.3%

中 · 未来 30 天

百分位: 98.9%
型号日期: 2026年10月17日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

思科 FirePOWER 软件（用于自适应安全设备（ASA）FirePOWER 模块）的 CLI 解析器中存在一个漏洞，可能允许经过身份验证的远程攻击者以 root 用户身份在受影响的 ASA FirePOWER 模块的底层操作系统上执行任意命令。此漏洞是由于对未定义命令参数的处理不当所致。攻击者可通过在 CLI 上使用特制命令，或向承载 ASA FirePOWER 模块的 Cisco ASA 的基于 Web 的管理界面提交特制的 HTTPS 请求来利用此漏洞。注意：要利用此漏洞，攻击者必须具有对 Cisco ASA 的管理访问权限。对特定 Cisco ASA 具有管理访问权限的用户，通常也被认为对该 Cisco ASA 所承载的 ASA FirePOWER 模块具有管理访问权限。

来源

仓库证据: 文件：1 · 仓库：1

1 模块

Cisco ASA-X with FirePOWER Services Authenticated Command Injection模块
modules/exploits/linux/http/cisco_asax_sfr_rce.rb
Metasploit Framework modules
漏洞利用观察到的证据: 2026年9月26日修订版: b22ce1fbae63关联工具
声明的条件
- platform: Linux,Unix($.exploit_linux/http/cisco_asax_sfr_rce.platform)
- verification: check_declared($.exploit_linux/http/cisco_asax_sfr_rce.check)

cisco_asa_research研究
Cisco ASA 软件与 ASDM 安全研究

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。