S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 04 octobre 2018
N° CERTFR-2018-AVI-468
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Cisco

Gestion du document

Référence CERTFR-2018-AVI-468
Titre Multiples vulnérabilités dans les produits Cisco
Date de la première version04 octobre 2018
Date de la dernière version04 octobre 2018
Source(s) Bulletin de sécurité Cisco cisco-sa-20181003-asa-dma-dos du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-cpcp-password du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-dna-auth-bypass du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-dna-unauth-access du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-fp-smb-snort du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-ftd-inspect-dos du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-hyperflex-secret du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-pi-tftp du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-sd-wan-bypass du 3 octobre 2018
Bulletin de sécurité Cisco cisco-sa-20181003-webex-rce du 3 octobre 2018
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Cisco Webex Business Suite WBS31 sites – Webex Network Recording Player et Webex Player toutes versions antérieures à WBS31.23
  • Cisco Webex Business Suite WBS32 sites – Webex Network Recording Player et Webex Player toutes versions antérieures à WBS32.15.20
  • Cisco Webex Business Suite WBS33 sites – Webex Network Recording Player et Webex Player toutes versions antérieures à WBS33.4
  • Cisco Webex Meetings Online – Webex Network Recording Player et Webex Player toutes versions antérieures à 1.3.37
  • Cisco Webex Meetings Server – Webex Network Recording Player toutes versions antérieures à 3.0MR2 Patch 1
  • Cisco SD-WAN Solution toutes versions antérieures à 17.2.8 et 18.3.1 exécutées sur un des produits suivants :
    • Logiciel vBond Orchestrator
    • Routeurs vEdge 100 Series
    • Routeurs vEdge 1000 Series
    • Routeurs vEdge 2000 Series
    • Routeurs vEdge 5000 Series
    • Routeurs vEdge Cloud Platform
    • vManage Network Management Software
    • vSmart Controller Software
  • Logiciel Cisco PI versions 3.2 à 3.4 sans correctif de sécurité et avec le serveur TFTP actif
  • Cisco HyperFlex versions antérieures à 3.5(1a).
  • Cisco Firepower Threat Defense (FTD) versions 6.2.3.x antérieures à 6.2.3.4
  • Cisco Firepower System
  • Cisco DNA Center versions antérieures à 1.1.4
  • Cisco Prime Collaboration Provisioning versions antérieures à 12.1
  • ASA 5506-X avec le service FirePOWER  exécutant une version vulnérable du logiciel Cisco Adaptive Security Appliance (ASA) ou Cisco Firepower Threat Defense (FTD)
  • ASA 5506H-X avec le service FirePOWER exécutant une version vulnérable du logiciel Cisco Adaptive Security Appliance (ASA) ou Cisco Firepower Threat Defense (FTD)
  • ASA 5506W-X avec le service FirePOWER exécutant une version vulnérable du logiciel Cisco Adaptive Security Appliance (ASA) ou Cisco Firepower Threat Defense (FTD)
  • ASA 5508-X avec le service FirePOWER exécutant une version vulnérable du logiciel Cisco Adaptive Security Appliance (ASA) ou Cisco Firepower Threat Defense (FTD)
  • ASA 5516-X avec le service FirePOWER exécutant une version vulnérable du logiciel Cisco Adaptive Security Appliance (ASA) ou Cisco Firepower Threat Defense (FTD)

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Cisco. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une exécution de code arbitraire et un déni de service à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 04 octobre 2018
    Version initiale