Risque

Contournement de la politique de sécurité.

Systèmes affectés

  • VPN3000 Concentrator ;
  • VPN3000 Hardware Client 3.x ;
  • Cisco versions Pix 6.x antérieures à la version 6.3(5) ;
  • Cisco versions Pix 7.x antérieures à la version 7.0(2) ;
  • Cisco Firewall Services Module (FWSM) 1.x ;
  • Cisco Firewall Services Module (FWSM) 2.x ;
  • Cisco Secure versions ACS 3.x antérieures à la version 4.0.1.

Résumé

Une vulnérabilité présente dans Cisco Secure ACS (Access Control Server) peut être exploitée par un utilisateur mal intentionné du réseau local pour contourner la politique de sécurité mise en place.

Description

La vulnérabilité présente sur Cisco Secure ACS est due à une erreur de conception dans le téléchargement des IP ACL.

Un utilisateur mal intentionné peut, en utilisant le nom du fichier de téléchargement des IP ACL, s'authentifier au serveur d'authentification (RAS/NAS) et ainsi contourner la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation