شرکت تولیدکننده‌ی تجهیزات شبکه‌ی سیسکو از انتشار به‌روزرسانی‌های امنیتی برای وصله‌ی بیش از ۳۰ آسیب‌پذیری موجود در محصولات مختلف، از جمله ۱۲ آسیب‌پذیری با شدت بالا که Adaptive Security Appliance (ASA) و Firepower Threat Defense (FTD) را تحت تأثیر قرار می‌دهند، خبر داد.
مهم‌ترین این آسیب‌پذیری‌ها که با شناسه‌ی CVE-2020-3187 ردیابی شده و در سیستم CVSS، امتیاز ۹٫۱ را دریافت کرده است، می‌تواند برای انجام حملات پیمایش مسیر و سپس، خواندن یا حذف فایل‌های حساس بر روی یک سیستم آسیب‌پذیر مورد بهره‌برداری قرار بگیرد. به گفته‌ی سیسکو، این آسیب‌پذیری به‌دلیل عدم اعتبارسنجی مناسب ورودی HTTP URL به وجود آمده است، بنابراین، امکان ارسال درخواست دستکاری‌شده‌ی HTTP را که شامل ویژگی‌های پیمایش مسیر است، برای مهاجمان فراهم می‌کند. فایل‌های حذف‌شده از طریق بهره‌برداری از این آسیب‌پذیری، هنگام راه‌اندازی مجدد دستگاه پس از بهره‌برداری، قابل‌بازیابی هستند.
سیسکو توضیح می‌دهد، مهاجم تنها می‌تواند فایل‌های درون سیستم فایل سرویس وب را مشاهده و حذف کند. این سیستم فایل زمانی فعال می‌شود که دستگاه آسیب‌دیده با هر دو قابلیت WebVPN یا AnyConnect پیکربندی شده باشد. به گفته‌ی سیسکو، این آسیب‌پذیری نمی‌تواند برای دسترسی به فایل‌های سیستم ASA یا FTD یا فایل‌های سیستم عامل اصلی مورد بهره‌برداری قرار بگیرد. سیسکو با انتشار نسخه‌های ۹٫۶٫۴٫۴۰، ۹٫۸٫۴٫۱۵، ۹٫۹٫۲٫۶۶، ۹٫۱۰٫۱٫۳۷ و ۹٫۱۳٫۱٫۷ برای ASA و نسخه‌های ۶٫۴٫۰٫۸ و ۶٫۵٫۰٫۴ (نسخه‌های آتی ۶٫۲٫۳٫۱۶ و ۶٫۳٫۰٫۶) برای FTD این آسیب‌پذیری را وصله کرده است.
این شرکت همچنین اشکال‌های منع سرویس در کنترلکنندهی Secure Sockets Layer (SSL)/Transport Layer Security (TLS) (CVE-2020-3283)، قابلیت VPN System Logging (CVE-2020-3189) و قابلیت tunnel decapsulation محصورسازی مسیریابی عمومی در FTD (CVE-2020-3179)، و در DNS over IPv6 packet processing (CVE-2020-3191)، قابلیت بازرسی Media Gateway Control Protocol (CVE-2020-3254)، کنترلکنندهی SSL/TLS (CVE-2020-3196)، و اجرای Open Shortest Path First در ASA و FTD (CVE-2020-3298) را وصله کرده است.
سایر آسیب‌پذیری‌های با شدت بالای وصله‌شده، شامل یک اشکال دورزدن احراز هویت در قابلیت احراز هویت Kerberos در ASA (CVE-2020-3125)، افشای اطلاعات در رابط سرویس وب ASA و FTD (CVE-2020-3259) و افشای حافظه در اجرای Open Shortest Path First در ASA و FTD (CVE-2020-3195) هستند. سیسکو به‌منظور وصله‌ی این آسیب‌پذیری‌ها، به‌روزرسانی‌های نرم‌افزاری را منتشر کرده است، اما هنوز وصله‌های کاملی برای تمامی محصولات آسیب‌پذیر در دسترس نیست. این شرکت همچنین اعلام کرد که مدارکی مبنی‌بر بهره‌برداری عمومی از این آسیب‌پذیری‌ها در دنیای واقعی پیدا نکرده است. علاوه‌بر این آسیب‌پذیری‌ها، سیسکو مشاوره‌نامه‌هایی را نیز برای ۲۳ آسیب‌پذیری با شدت متوسط موجود در FTD On-Box software، Umbrella، Integrated Management Controller (IMC) Supervisor، UCS Director، UCS Director Express for Big Data، FTD، Content Security Management Appliance (SMA)، Hosted Collaboration Mediation Fulfillment (HCM-F)، ASA، Firepower Management Center (FMC) و Firepower User Agent منتشر کرده است. این آسیب‌پذیری‌ها شامل تجزیه‌ی XML، تزریق CRLF، غیرفعال‌کردن حساب کاربری، دورزدن گروه SSL/TLS URL، دورزدن خط‌مشی‌های فایل‌های پیکربندی‌شده، open redirect، دورزدن بررسی‌های امضا، XML external expansion، shell access، منع سرویس، افشای اطلاعات، دورزدن لیست دسترسی، اسکریپت‌نویسی میان وبگاهی، static credential، بازنویسی فایل دلخواه و نوشتن فایل ورودی دلخواه، هستند.
