Cisco a publi\u00e9 mercredi des correctifs pour contenir de multiples failles dans son logiciel qui pourraient \u00eatre exploit\u00e9es pour divulguer des informations sensibles sur les appareils sensibles.<\/p>\n
Le probl\u00e8me, auquel est attribu\u00e9 l’identifiant CVE-2022-20866<\/a> (score CVSS\u00a0: 7,4), a \u00e9t\u00e9 d\u00e9crite comme une \u00ab\u00a0erreur logique\u00a0\u00bb lors de la gestion des cl\u00e9s RSA sur les p\u00e9riph\u00e9riques ex\u00e9cutant le logiciel Cisco Adaptive Security Appliance (ASA) et le logiciel Cisco Firepower Threat Defense (FTD).<\/p>\n L’exploitation r\u00e9ussie de la faille pourrait permettre \u00e0 un attaquant de r\u00e9cup\u00e9rer la cl\u00e9 priv\u00e9e RSA au moyen d’un Attaque par canal lat\u00e9ral de Lenstra<\/a> contre l’appareil cibl\u00e9.<\/p>\n “Si un attaquant obtient la cl\u00e9 priv\u00e9e RSA, il pourrait l’utiliser pour se faire passer pour un appareil qui ex\u00e9cute le logiciel Cisco ASA ou le logiciel Cisco FTD ou pour d\u00e9chiffrer le trafic de l’appareil”, a averti Cisco dans un avis publi\u00e9 le 10 ao\u00fbt.<\/p>\n Cisco a not\u00e9 que la faille affecte uniquement les versions 9.16.1 et ult\u00e9rieures du logiciel Cisco ASA et les versions 7.0.0 et ult\u00e9rieures du logiciel Cisco FTD. Les produits concern\u00e9s sont list\u00e9s ci-dessous –<\/p>\n Les versions de logiciel ASA 9.16.3.19, 9.17.1.13 et 9.18.2, et les versions de logiciel FTD 7.0.4, 7.1.0.2-2 et 7.2.0.1 ont \u00e9t\u00e9 publi\u00e9es pour r\u00e9soudre la faille de s\u00e9curit\u00e9.<\/p>\n Cisco a cr\u00e9dit\u00e9 Nadia Heninger et George Sullivan de l’Universit\u00e9 de Californie \u00e0 San Diego et Jackson Sippe et Eric Wustrow de l’Universit\u00e9 du Colorado \u00e0 Boulder pour avoir signal\u00e9 le bogue.<\/p>\n Cisco a \u00e9galement corrig\u00e9 une faille de contrebande de requ\u00eates c\u00f4t\u00e9 client dans le VPN SSL sans client<\/a> (WebVPN) du logiciel Cisco Adaptive Security Appliance (ASA) qui pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 de mener des attaques bas\u00e9es sur un navigateur, telles que des scripts intersites, contre la victime.<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 la faiblesse, CVE-2022-20713<\/a> (score CVSS\u00a0: 4,3), affectent les p\u00e9riph\u00e9riques Cisco ex\u00e9cutant une version du logiciel Cisco ASA ant\u00e9rieure \u00e0 la version 9.17(1) et ont la fonctionnalit\u00e9 VPN SSL sans client activ\u00e9e.<\/p>\n Bien qu’il n’existe aucune solution de contournement pour rem\u00e9dier \u00e0 la faille, les utilisateurs concern\u00e9s peuvent d\u00e9sactiver la fonctionnalit\u00e9 VPN SSL sans client, bien que Cisco avertisse que cela “peut avoir un impact n\u00e9gatif sur la fonctionnalit\u00e9 ou les performances” du r\u00e9seau.<\/p>\n Le d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Rapid7 divulgu\u00e9<\/a> d\u00e9tails de 10 bogues trouv\u00e9s dans ASA, Adaptive Security Device Manager (ASDM) et le logiciel de services FirePOWER pour ASA, dont sept ont depuis \u00e9t\u00e9 r\u00e9solus par Cisco.<\/p>\n Ceux-ci inclus CVE-2022-20829<\/a> (cote CVSS : 9,1), CVE-2022-20651<\/a> (cote CVSS : 5,5), CVE-2021-1585<\/a> (cote CVSS : 7,5), CVE-2022-20828<\/a> (score CVSS\u00a0: 6,5) et trois autres failles qui n’ont pas re\u00e7u d’identifiant CVE.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n