Vulnerabilidad en el servidor FTP de Cisco Web Security Appliance (CVE-2018-0087)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

08/03/2018

Última modificación:

09/10/2019

Descripción

Una vulnerabilidad en el servidor FTP de Cisco Web Security Appliance (WSA) podría permitir que un atacante remoto no autenticado inicie sesión en el servidor FTP del dispositivo sin una contraseña válida. El atacante necesita tener un nombre de usuario válido. Esta vulnerabilidad se debe a una validación incorrecta de las credenciales de usuario FTP. Un atacante podría explotar esta vulnerabilidad utilizando FTP para conectarse a la dirección IP de administración del dispositivo objetivo. Su explotación podría permitir que el atacante inicie sesión en el servidor FTP de Cisco WSA sin tener una contraseña válida. La vulnerabilidad afecta a Cisco AsyncOS para software de WSA, tanto en máquinas virtuales como físicas que ejecuten cualquier distribución de AsyncOS 10.5.1 para el software de WSA. El dispositivo es vulnerable solo si está FTP habilitado en la interfaz de administración. FTP está deshabilitado por defecto. Cisco Bug IDs: CSCvf74281.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.60 MEDIA
Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

5.60

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico