Cisco Web/Mail Security Appliance bis 7.7/8.1 Web Framework HTTP/HTTPS Request Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.2$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle, die als problematisch eingestuft wurde, wurde in Cisco Web and Mail Security Appliance bis 7.7/8.1 gefunden. Es geht um eine nicht näher bekannte Funktion der Komponente Web Framework. Die Veränderung im Kontext von HTTP/HTTPS Request resultiert in Denial of Service. Die Verwundbarkeit wird unter CVE-2013-3385 geführt. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in Cisco Web sowie Mail Security Appliance bis 7.7/8.1 entdeckt. Sie wurde als kritisch eingestuft. Betroffen hiervon ist ein unbekannter Ablauf der Komponente Web Framework. Mittels Manipulieren durch HTTP/HTTPS Request kann eine Denial of Service-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-399 vorgenommen. Auswirken tut sich dies auf die Verfügbarkeit. Die Zusammenfassung von CVE lautet:

The management GUI in the web framework in IronPort AsyncOS on Cisco Web Security Appliance devices before 7.1.3-013, 7.5 before 7.5.0-838, and 7.7 before 7.7.0-602; Email Security Appliance devices before 7.1.5-106 and 7.3, 7.5, and 7.6 before 7.6.3-019; and Content Security Management Appliance devices before 7.9.1-102 and 8.0 before 8.0.0-404 allows remote attackers to cause a denial of service (system hang) via a series of (1) HTTP or (2) HTTPS requests to a management interface, aka Bug IDs CSCzv58669, CSCzv63329, and CSCzv78669.
Das Advisory hält fest:
The Cisco Email Security Appliance provides email management and protection combining antispam, antivirus, and encryption technologies.

Die Schwachstelle wurde am 26.06.2013 als cisco-sa-20130626-esa in Form eines bestätigten Advisories (Website) via cisco-sa-20130626-esa publiziert. Das Advisory findet sich auf tools.cisco.com. Die Identifikation der Schwachstelle wird seit dem 06.05.2013 mit CVE-2013-3385 vorgenommen. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden. Das Advisory weist darauf hin:

A full TCP three-way handshake is required to exploit this vulnerability

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 69076 (Multiple Vulnerabilities in Cisco Email Security Appliance (cisco-sa-20130626-esa)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CISCO zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 43414 (Multiple Vulnerabilities in Cisco IronPort AsyncOS Software (cisco-sa-20130626)) zur Prüfung der Schwachstelle an. Das Advisory zeigt auf:

This vulnerability can be triggered by IPv4 and IPv6 traffic directed to the management IP addresses of the affected system. This vulnerability can be exploited over the default management ports, TCP port 80 or TCP port 443.

Ein Aktualisieren auf die Version 7.1.5-016 vermag dieses Problem zu lösen. Die Schwachstelle kann auch durch das Filtern von tcp/80 & tcp/443 mittels Firewalling mitigiert werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Cisco hat nachweislich unmittelbar gehandelt. Das Advisory stellt fest:

A hard reboot of the affected system is needed to restore full functionality. (…) The default management ports can be reconfigured on the system. (…) Administrators can use the interfaceconifg command to disable appliance management via the GUI. Alternatively, this can be done via the GUI by editing the management interface properties under Network->IP interfaces-> Edit and then selecting Disable Appliance Management. (…) Administrators can also limit the attack surface by restricting IP addresses that can access the management interface. This can be done using the adminaccessconfig command and selecting IPACCESS from the menu. (…) The IronPort Spam Quarantine Denial of Service Vulnerability can be mitigated by disabling the end-user access to the ISQ service. Administrators can disable this access using the interfaceconfig command. Alternatively, this can be done via the GUI by editing the settings for Spam Quarantine under Monitor->Quarantines-> Edit and then unchecking the option "Enable End-User Quarantine Access".

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (69076), OSVDB (94609†), Secunia (SA53957†) und Vulnerability Center (SBV-40228†) dokumentiert. Weitere Informationen werden unter seclists.org bereitgestellt. Von weiterem Interesse können die folgenden Einträge sein: VDB-9274, VDB-9275 und VDB-9276. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 7.2

VulDB Base Score: 7.5
VulDB Temp Score: 7.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Denial of Service
CWE: CWE-399 / CWE-404
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 69076
Nessus Name: Multiple Vulnerabilities in Cisco Email Security Appliance (cisco-sa-20130626-esa)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Web/Mail Security Appliance 7.1.5-016
Firewalling: 🔍

Timelineinfo

06.05.2013 🔍
26.06.2013 +51 Tage 🔍
26.06.2013 +0 Tage 🔍
26.06.2013 +0 Tage 🔍
27.06.2013 +1 Tage 🔍
27.06.2013 +0 Tage 🔍
30.06.2013 +3 Tage 🔍
17.05.2021 +2878 Tage 🔍

Quelleninfo

Hersteller: cisco.com

Advisory: cisco-sa-20130626-esa
Status: Bestätigt

CVE: CVE-2013-3385 (🔍)
GCVE (CVE): GCVE-0-2013-3385
GCVE (VulDB): GCVE-100-9279

IAVM: 🔍

Secunia: 53957 - Cisco Appliances Multiple Vulnerabilities, Less Critical
OSVDB: 94609
Vulnerability Center: 40228 - [cisco-sa-20130626-esa, cisco-sa-20130626-sma] Cisco IronPort AsyncOS Remote Denial of Service (CVE-2013-3385), High

Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 27.06.2013 11:52
Aktualisierung: 17.05.2021 12:15
Anpassungen: 27.06.2013 11:52 (53), 04.05.2017 10:24 (27), 17.05.2021 12:15 (3)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!