Vulnerabilidad en encabezados de petición HTTP en la interfaz de administración basada en web de Cisco AsyncOS para Cisco Email Security Appliance (ESA), Cisco Web Security Appliance (WSA) y Cisco Content Security Management Appliance (SMA) (CVE-2020-3164)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
04/03/2020
Última modificación:
05/03/2020
Descripción
Una vulnerabilidad en la interfaz de administración basada en web de Cisco AsyncOS para Cisco Email Security Appliance (ESA), Cisco Web Security Appliance (WSA) y Cisco Content Security Management Appliance (SMA), podría permitir a un atacante remoto no autenticado causar una alta utilización de la CPU en un dispositivo afectado, resultando en una condición de denegación de servicio (DoS). La vulnerabilidad es debido a una comprobación inapropiada de encabezados de petición HTTP específicos. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición HTTP malformada en un dispositivo afectado. Una explotación con éxito podría permitir al atacante activar un estado prolongado de alta utilización de la CPU relativo a los procesos de la GUI. Tras la explotación con éxito de esta vulnerabilidad, un dispositivo afectado aún estará operativo, pero su tiempo de respuesta y desempeño general pueden ser degradados.
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:cisco:cloud_email_security:*:*:*:*:*:*:*:* | 13.0.0-392 (incluyendo) | |
| cpe:2.3:a:cisco:content_security_management_appliance:*:*:*:*:*:*:*:* | 13.6.0 (excluyendo) | |
| cpe:2.3:a:cisco:email_security_appliance:*:*:*:*:*:*:*:* | 13.0.0-392 (incluyendo) | |
| cpe:2.3:a:cisco:web_security_appliance:*:*:*:*:*:*:*:* | 12.0.1-268 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página