Vulnerabilidad en Cisco AsyncOS Software for Cisco Email Security Appliance (CVE-2018-15453)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-787 Escritura fuera de límites

Fecha de publicación:

10/01/2019

Última modificación:

16/09/2020

Descripción

Una vulnerabilidad en el descifrado de S/MIME (Secure/Multipurpose Internet Mail Extensions) y la verificación de características de recopilación de claves públicas de S/MIME de Cisco AsyncOS Software for Cisco Email Security Appliance (ESA) podría permitir que un atacante remoto no autenticado provoque que el dispositivo afectado corrompa la memoria del sistema. Su explotación con éxito podría permitir que el proceso de filtrado se recargue, provocando una denegación de servicio (DoS) en el dispositivo. La vulnerabilidad se debe a una validación de entradas incorrecta de los correos electrónicos firmados por S/MIME. Un atacante podría explotar esta vulnerabilidad mediante el envío de un correo electrónico firmado por S/MIME a través de un dispositivo objetivo. Si el descifrado y la verificación o la recopilación de claves públicas están configurados, el proceso de filtrado podría cerrarse inesperadamente debido a la corrupción de memoria y reiniciarse, lo que resulta en una condición de denegación de servicio (DoS). Así, el software podría continuar el procesamiento del mismo correo firmado por S/MIME, provocando que el proceso de filtrado se cierre inesperadamente y se reinicie de nuevo. Su explotación con éxito podría permitir que el atacante provoque una condición de denegación de servicio (DoS) permanente. Esta vulnerabilidad podría requerir intervención manual para recuperar ESA.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.60

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:N/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: AV:N/AC:L/Au:N/C:N/I:N/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Completo