CVE詳細 - CVE-2020-3452-

CVE-2020-3452 の詳細

CVEの情報

説明:
A vulnerability in the web services interface of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to conduct directory traversal attacks and read sensitive files on a targeted system. The vulnerability is due to a lack of proper input validation of URLs in HTTP requests processed by an affected device. An attacker could exploit this vulnerability by sending a crafted HTTP request containing directory traversal character sequences to an affected device. A successful exploit could allow the attacker to view arbitrary files within the web services file system on the targeted device. The web services file system is enabled when the affected device is configured with either WebVPN or AnyConnect features. This vulnerability cannot be used to obtain access to ASA or FTD system files or underlying operating system (OS) files.

CVE更新日: 2020-07-22 20:15:11.970000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-3452について、以下の観点で解説します。

1. 脆弱性の概要

Cisco Adaptive Security Appliance (ASA) SoftwareおよびCisco Firepower Threat Defense (FTD) SoftwareのWebサービスインターフェースに存在する、認証されていないリモート攻撃者がディレクトリトラバーサル攻撃を実行し、機密ファイルを読み取ることが可能となる重大な脆弱性です。この脆弱性は、HTTPリクエスト内のURLに対する不適切な入力検証に起因します。

1.1 影響

攻撃者は、ターゲットシステムのWebサービスファイルシステム内の任意のファイルを閲覧できます。露出する可能性のある機密情報には、WebVPN設定ファイル、WebVPNカスタマイズファイル、Webクッキー、部分的なWebコンテンツ、ブックマーク、HTTP URL、および潜在的にユーザー認証情報やセッショントークンが含まれます。

この脆弱性は、Cisco ASAまたはFTDのシステムファイル、あるいは基盤となるオペレーティングシステム (OS) ファイルへのアクセスを許可するものではありません。また、ファイルの変更やサービスの中断を引き起こすものでもありません。しかし、ユーザーの列挙などの多段階攻撃のための情報収集に利用される可能性があります。

1.2 深刻度

CVSSv3基本評価スコアは7.5（High）と評価されています。この脆弱性は「クリティカル」と分類されており、CISAの既知の悪用されている脆弱性（KEV）カタログにも含まれており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のCisco製品のソフトウェアバージョンが影響を受けます。

Cisco Adaptive Security Appliance (ASA) Software
- バージョン9.6, 9.7, 9.8, 9.9, 9.10, 9.12, 9.13, および9.14 (特定の修正済みバージョン以前)
- 具体的には、9.6.4.42以前、9.8.4.20以前、9.9.2.74以前、9.10.1.42以前、9.13.1.10以前、9.14.1.10以前のバージョンが影響を受けます。
- ASA Softwareリリース9.5以前、およびリリース9.7はソフトウェアメンテナンスの終了を迎えており、修正のためにはサポートされている新しいバージョンへのアップグレードが必要です。
Cisco Firepower Threat Defense (FTD) Software
- バージョン6.2.2, 6.2.3, 6.3.0, 6.4.0, 6.5.0, 6.6.0。
- FTDリリース6.2.2はソフトウェアメンテナンスの終了を迎えています。

2.2 影響を受ける設定

影響を受けるデバイスがWebVPNまたはAnyConnectリモートアクセスVPN機能のいずれかで設定されている場合に、この脆弱性が悪用可能となります。これらの設定が有効な場合、Webサービスファイルシステムが利用可能になります。

3. 影響を受けた時の兆候

脆弱性を狙った探索的なスキャン活動が報告されています。
実際に脆弱性が悪用され、攻撃者がLUAソースファイルなどを読み取っている事例が確認されています。
WebVPNの設定やブックマーク、Webクッキー、Webコンテンツの一部、HTTP URLなどの機微なファイルが外部から読み取られる可能性があります。

4. 推奨対策

4.1 本対策

Ciscoから提供されているASAまたはFTDソフトウェアの修正済みバージョンへアップグレードしてください。
本脆弱性に対するエクスプロイトコードが公開されており、実際に悪用が確認されているため、シスコは影響を受ける製品を使用している顧客に対し、できるだけ早く修正済みリリースにアップグレードすることを強く推奨しています。

4.2 暫定回避策（緩和策）

不要なWebサービス（例：Adaptive Security Device Manager (ASDM)、WebVPN、AnyConnectポータル）が設定されている場合は無効にしてください。
シスコは、本脆弱性に完全に対処する回避策はないと明記しており、パッチ適用が必須です。ただし、影響を受ける機能（WebVPN/AnyConnect）を無効にすることで、攻撃対象領域を取り除くことができます。

その他に解説すべき観点

発見者: この脆弱性は、Ahmed Aboul-Ela氏によって発見されました。
公開PoC: 脆弱性公開後まもなく、公開された概念実証（PoC）エクスプロイトが利用可能になりました。
CWE分類: CWE-22 (Path Traversal) および CWE-20 (Improper Input Validation) に分類されます。

参照サイト:

NVDサイト

NVDでCVEの詳細を見る

戻る