发布日期：2008-09-03
更新日期：2008-09-04

受影响系统：

Cisco PIX/ASA 8.x
Cisco PIX/ASA 7.x

不受影响系统：

Cisco PIX/ASA 8.1(1)5
Cisco PIX/ASA 8.1(1)4
Cisco PIX/ASA 8.0(3)15
Cisco PIX/ASA 8.0(3)14
Cisco PIX/ASA 7.2(4)7
Cisco PIX/ASA 7.2(4)2
Cisco PIX/ASA 7.1(2)71
Cisco PIX/ASA 7.0(7)16

描述：

---

BUGTRAQ  ID: 30998
CVE(CAN) ID: CVE-2008-2732,CVE-2008-2733,CVE-2008-2734,CVE-2008-2735,CVE-2008-2736

PIX是一款防火墙设备，可为用户和应用提供策略强化、多载体攻击防护和安全连接服务；自适应安全设备（ASA）是可提供安全和VPN服务的模块化平台。

Cisco ASA 5500系列自适应安全设备和Cisco PIX安全设备中存在多个漏洞，可能导致设备重载或泄露保密信息。

错误SIP处理漏洞
  
配置了SIP检查的Cisco PIX和Cisco ASA设备受多个处理错误的影响，可能导致拒绝服务。以下Cisco Bug ID记录了这些漏洞，已分配CVE标识为CVE-2008-2732。

  * CSCsq07867
  * CSCsq57091
  * CSCsk60581
  * CSCsq39315

IPSec客户端认证处理漏洞
  
如果运行7.2、8.0和8.1软件版本的话，配置为终止基于客户端VPN连接的Cisco PIX和Cisco ASA设备受特制认证处理漏洞的影响，成功攻击可能导致设备重载。这个漏洞在Cisco Bug ID中记录为CSCso69942，已分配CVE标识为CVE-2008-2733。
  
SSL VPN中SSL VPN内存泄露和URI处理错误
  
特制的SSL或HTTP报文可能在配置为终止无客户端VPN连接的Cisco ASA设备上导致拒绝服务。成功攻击可能导致设备重载。这些漏洞在Cisco Bug ID中记录为CSCso66472和CSCsq19369，已分配CVE标识为CVE-2008-2734和CVE-2008-2735。

无客户端VPN信息泄露

在配置为终止无客户端VPN连接的Cisco ASA设备上，攻击者可以发现用户名和口令等敏感信息。攻击者能够诱骗用户访问伪造的Web服务器、回复邮件或与服务交互才能成功的利用漏洞。这个漏洞在Cisco Bug ID中记录为CSCsq45636，已分配CVE标识为CVE-2008-2736。

<*来源：Cisco
  
  链接：http://www.cisco.com/warp/public/707/cisco-amb-20080903-asa.shtml
        http://secunia.com/advisories/31730/
        http://www.cisco.com/warp/public/707/cisco-sa-20080903-asa.shtml
*>

建议：

---

临时解决方法：

* 错误SIP处理漏洞
  
可通过no inspect sip命令禁用SIP检查。
  
* IPSec认证处理漏洞
  
对远程访问VPN连接使用强壮的组凭据，不要将组凭据透露给最终用户。
  
* SSL VPN中的SSL VPN内存泄露漏洞和URI处理错误
  
IPSec客户端不受这个漏洞影响，可在升级设备之前结合强壮的组凭据使用。
  
* 无客户端SSL VPN信息泄露
  
基于客户端的VPN连接不受信息泄露漏洞的影响。

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20080903-asa）以及相应补丁:
cisco-sa-20080903-asa：Remote Access VPN and SIP Vulnerabilities in Cisco PIX and Cisco ASA
链接：http://www.cisco.com/warp/public/707/cisco-sa-20080903-asa.shtml

补丁下载：

http://www.cisco.com/pcgi-bin/tablebuild.pl/pix?psrtdcat20e2
http://www.cisco.com/pcgi-bin/tablebuild.pl/asa?psrtdcat20e2

浏览次数：3023
严重程度：0（网友投票）