Validación de entrada incorrecta en Cisco AnyConnect Secure Mobility Client
Esta vulnerabilidad afecta a todas las versiones del software Cisco AnyConnect Secure Mobility Client con una configuración vulnerable para las siguientes plataformas:
- AnyConnect Secure Mobility Client para Linux,
- AnyConnect Secure Mobility Client para MacOS,
- AnyConnect Secure Mobility Client para Windows.
Una configuración vulnerable requiere que se habiliten, tanto la configuración Auto Update (habilitada predeterminadamente), como Enable Scripting (deshabilitada de manera predeterminada).
Gerbert Roitburd, investigador de Secure Mobile Networking Lab (TU Darmstadt), ha notificado una vulnerabilidad, con severidad alta, de tipo validación de entrada incorrecta.
Cisco solucionó esta vulnerabilidad en las versiones 4.10.00093 y posteriores del producto Cisco AnyConnect Secure Mobility Client.
Una vulnerabilidad en IPC (Interprocess Communication Channel) del software Cisco AnyConnect Secure Mobility Client podría permitir que un atacante local, autenticado, haga que un usuario de AnyConnect ejecute un script malicioso, enviando mensajes IPC, especialmente diseñados, al oyente IPC del cliente AnyConnect. Se ha asignado el identificador CVE-2020-3556 para esta vulnerabilidad.
