Alfonso Maruccia

Cisco, grave falla per il VPN via Web

La corporation ha reso nota l'esistenza di una falla di sicurezza di particolare gravità, un problema potenzialmente sfruttabile anche per eseguire comandi da remoto. Le patch sono già disponibili, l'aggiornamento indispensabile.

Roma - Cisco ha scoperto e reso pubblica una vulnerabilità di sicurezza nella piattaforma software ASA (Adaptive Security Appliance), un bug classificato con il più alto grado di pericolosità (CVE-2018-0101) e potenzialmente sfruttabile per eseguire codice o comandi malevoli da remoto.

Il baco prende di mira la funzionalità WebVPN della piattaforma ASA, un sistema pensato per permettere l'accesso VPN direttamente via Web e senza l'uso di client software specifici: un malintenzionato potrebbe tentare di sfruttare il bug inviando pacchetti XML multipli appositamente formattati, così da sfuggire ai controlli di memoria e compiere ogni tipo di azione malevola sul client bersaglio.

La falla è sfruttabile per attaccare i sistemi di una Intranet attraverso una connessione a Internet, con la lista dei dispositivi coinvolti che risulta piuttosto corposa e comprende apparati di rete, firewall, switch e quant altro faccia uso del software ASA.
Cisco ha già pubblicato una patch in grado di chiudere il baco nei dispositivi vulnerabili, anche se l'aggiornamento è garantito soprattutto a chi è in regola con i contratti di manutenzione firmati con la corporation. Per tutti gli altri c'è da contattare il supporto tecnico (Technical Assistance Center o TAC) di Cisco e sperare di ricevere una risposta in tempi decenti.

Alfonso Maruccia
Notizie collegate
  • SicurezzaCisco sistema una decina di falleIl gigante del networking ha corretto diverse vulnerabilità di sicurezza relative a due suoi prodotti per le reti wireless, Wireless LAN Controller (WLC) e Wireless Control System