Trusted DesignCVE-2023-20269 の詳細
CVEの情報
説明:
A vulnerability in the remote access VPN feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to conduct a brute force attack in an attempt to identify valid username and password combinations or an authenticated, remote attacker to establish a clientless SSL VPN session with an unauthorized user.
This vulnerability is due to improper separation of authentication, authorization, and accounting (AAA) between the remote access VPN feature and the HTTPS management and site-to-site VPN features. An attacker could exploit this vulnerability by specifying a default connection profile/tunnel group while conducting a brute force attack or while establishing a clientless SSL VPN session using valid credentials. A successful exploit could allow the attacker to achieve one or both of the following:
Identify valid credentials that could then be used to establish an unauthorized remote access VPN session.
Establish a clientless SSL VPN session (only when running Cisco ASA Software Release 9.16 or earlier).
Notes:
Establishing a client-based remote access VPN tunnel is not possible as these default connection profiles/tunnel groups do not and cannot have an IP address pool configured.
This vulnerability does not allow an attacker to bypass authentication. To successfully establish a remote access VPN session, valid credentials are required, including a valid second factor if multi-factor authentication (MFA) is configured.
Cisco will release software updates that address this vulnerability. There are workarounds that address this vulnerability.
CVE更新日: 2023-09-06 18:15:08.303000
CVSSバージョン: 3.1
CVSSスコア: 5.0
KEVの情報
KEV更新日: 2023-09-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.254530000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2023-20269に関する調査結果を以下に解説します。
1. 脆弱性の概要
Cisco Adaptive Security Appliance (ASA) SoftwareおよびCisco Firepower Threat Defense (FTD) SoftwareのリモートアクセスVPN機能における認証、認可、アカウンティング (AAA) の不適切な分離に起因する脆弱性です。
1.1 影響
1.2 深刻度
2. 対象となる環境
2.1 影響を受けるOSバージョン
特に、クライアントレスSSL VPNセッションの確立は、Cisco ASA Softwareリリース9.16以前を実行している場合にのみ可能です。
以下の製品は本脆弱性の影響を受けません。 * Firepower Management Center (FMC) Software * FXOS Software * IOS Software * IOS XE Software * IOS XR Software * NX-OS Software
2.2 影響を受ける設定
以下のいずれかの条件を満たす場合に影響を受けます。
加えて、不正なクライアントレスSSL VPNセッションを確立するためには、以下の条件も満たす必要があります。
3. 影響を受けた時の兆候
%ASA-6-113015の発生頻度が高い場合、認証失敗が報告されており、ブルートフォース攻撃やパスワードスプレー攻撃の兆候である可能性があります。ブルートフォース攻撃の場合、通常は同じユーザーに対して同じIPアドレスから大量のメッセージが確認されます。パスワードスプレー攻撃の場合、同じIPアドレスから異なるユーザーに対して大量のメッセージが確認されます。4. 推奨対策
4.1 本対策
Ciscoは、この脆弱性に対処するためのソフトウェアアップデートをリリースしています。 組織は、展開しているASAまたはFTDのブランチに一致する特定の修正済みリリースについて、Ciscoのセキュリティアドバイザリを確認し、適用することを強く推奨します。
4.2 暫定回避策（緩和策）
ソフトウェアアップデートが適用されるまでの間、以下の回避策を実装することでリスクを軽減できます。
DefaultRAGroupまたはDefaultWEBVPNGroupトンネルグループを使用しようとするVPNセッションを終了するようにDAPを設定します。vpn-simultaneous-logins設定の利用: デフォルトのグループポリシーでvpn-simultaneous-logins設定を使用して、セッションの露出を減らします。個々のユーザーアカウントを、vpn-simultaneous-loginsを0に設定したグループポリシーに割り当てることで、監査が完了するまでVPN確立を防止できます。これらの回避策の詳細な設定例については、Ciscoのセキュリティアドバイザリを参照してください。
その他に解説すべき観点