思科披露其ASA和FTD软件中存在被主动利用的漏洞 CVE - 2024 - 20481

思科披露了其 Adaptive Security Appliance (ASA) 和 Firepower Threat Defense (FTD) 软件中的一个被主动利用的漏洞 (CVE-2024-20481)，攻击者可利用该漏洞对远程访问 VPN (RAVPN) 服务发起拒绝服务 (DoS) 攻击。该漏洞的 CVSS 得分为 5.8，会影响运行启用了 RAVPN 的易受攻击 ASA 或 FTD 软件版本的设备。

该漏洞源于资源耗尽问题。如公告所述：“攻击者可通过向受影响设备发送大量 VPN 验证请求来利用此漏洞。成功利用后，攻击者可耗尽资源，导致受影响设备上的 RAVPN 服务 DoS。”

这意味着攻击者可能会向 VPN 服务发送大量验证请求，从而使系统资源不堪重负，并中断合法用户的访问。在某些情况下，可能需要重新加载设备才能恢复 RAVPN 功能。重要的是，思科指出与 VPN 无关的服务不受影响。

要检查设备是否存在漏洞，Cisco 建议在设备 CLI 中运行以下命令：

show running-config webvpn | include ^ enable

该命令的任何输出都表明 SSL VPN 已启用，设备可能存在漏洞。

咨询提供了识别潜在密码喷射攻击的指导，这是利用此漏洞的一种常见方法。指标包括频繁大量出现的特定日志信息，如身份验证拒绝和登录尝试失败。使用 show aaa-server 命令监控身份验证请求和拒绝的数量也有助于发现正在进行的攻击。

遗憾的是，CVE-2024-20481 没有可用的解决方法。思科已发布解决该问题的软件更新，并强烈呼吁用户尽快升级到修复版本。

Cisco 还建议客户在安装固定版本后查看《Cisco Secure Firewall ASA Firewall CLI 配置指南》中的 “Configure Threat Detection for VPN Services ”部分。该部分指导如何针对各种 VPN 相关攻击启用保护。

令人担忧的是，Cisco PSIRT 发现有人恶意使用此漏洞。 依赖 Cisco ASA 或 FTD 软件提供 RAVPN 服务的组织应优先更新其系统，以降低 DoS 攻击风险并确保业务持续运行。