CVE-2020-3452

针对CISCO设备上CVE-2020-3452的简易、愚蠢的Python验证器(？)。Python新手，请别打死我。;-(

使用方法

python CVE-2020-3452.py /path/to/input/file.txt /path/to/output/file.txt

免责声明：

请仅在您拥有或已获得测试许可的目标上使用此脚本。请勿用于非法目的！

关于CVE-2020-3452的信息

参见文档：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-3452

https://nvd.nist.gov/vuln/detail/CVE-2020-3452

https://de.tenable.com/blog/cve-2020-3452-cisco-adaptive-security-appliance-and-firepower-threat-defense-path-traversal

摘要：

Cisco自适应安全设备（ASA）软件和Cisco Firepower威胁防御（FTD）软件的Web服务接口中存在一个漏洞，可能允许未经身份验证的远程攻击者进行目录遍历攻击，并读取目标系统上的敏感文件。

该漏洞是由于受影响设备在处理HTTP请求中的URL时缺乏适当的输入验证所致。攻击者可以通过向受影响设备发送包含目录遍历字符序列的精心构造的HTTP请求来利用此漏洞。成功利用该漏洞可允许攻击者查看目标设备Web服务文件系统中的任意文件。

当受影响设备配置了WebVPN或AnyConnect功能时，Web服务文件系统即被启用。此漏洞无法用于获取ASA或FTD系统文件或底层操作系统（OS）文件。

Cisco已发布解决此漏洞的软件更新。目前没有解决此漏洞的变通方法。

注意：Cisco已意识到公开可利用的漏洞代码以及本公告中所述漏洞的积极利用。Cisco建议拥有受影响产品的客户尽快升级到修复版本。"

@ https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86