漏洞概述
Cisco Adaptive Security Appliance (ASA) 是为Cisco ASA 系列提供支持的核心操作系统，它以多种形式为ASA 设备提供企业级防火墙功能。Cisco Firepower Threat Defense (FTD) 是Cisco 的防火墙产品。
Cisco Adaptive Security Appliance (ASA) 和Cisco Firepower Threat Defense (FTD) 的web 服务接口存在漏洞，允许未经身份验证的远程攻击者向受影响的设备发送一个精心制作的HTTP 请求，成功利用该漏洞的攻击者能够进行目录遍历攻击并读取目标系统上的敏感文件。
该漏洞目前仅影响启用了AnyConnect 或WebVPN 配置的设备，并且此漏洞不能用于访问ASA 或FTD 系统文件或底层操作系统(OS) 文件。
漏洞风险
未经身份验证的攻击者可通过向目标设备的Web 服务接口发送特制请求包读取Web 目录下的文件。
漏洞影响
Cisco ASA：<= 9.6
Cisco ASA：9.7 , 9.8 , 9.9 , 9.10 , 9.12 , 9.13 , 9.14
Cisco FTD：6.2.2 , 6.2.3 , 6.3.0 , 6.4.0 , 6.5.0 , 6.6.0
易受攻击的配置如下：
Cisco ASA：
AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable client-services port
AnyConnect SSL VPN：webvpn enable
Clientless SSL VPN：webvpn enable
Cisco FTD：
AnyConnect IKEv2 Remote Access (with client services)：crypto ikev2 enable client-services port
AnyConnect SSL VPN：webvpn enable
解决方案
通用修补建议：
Cisco ASA：
9.6 版本以前 升级到 某一修复版本
9.6 版本 升级到9.6.4.42 版本
9.7 版本 升级到 某一修复版本
9.8 版本 升级到9.8.4.20 版本
9.9 版本 升级到9.9.2.74 版本
9.10 版本 升级到9.10.1.42 版本
9.12 版本 升级到9.12.3.12 版本
9.13 版本 升级到9.13.1.10 版本
9.14 版本 升级到9.14.1.10 版本
Cisco FTD：
6.2.2 版本 升级到 某一修复版本
6.2.3 版本 升级到6.2.3.16 版本
6.3.0 版本 升级到6.3.0.5(Hot Fix)/6.3.0.6/6.4.0.9(Hot Fix)/6.6.0.1 版本
6.4.0 版本 升级到6.4.0.9(Hot Fix)/6.4.0.10 版本
6.5.0 版本 升级到6.5.0.4(Hot Fix)/6.5.0.5/6.6.0.1 版本
6.6.0 版本 升级到6.6.0.1 版本
Cisco FTD Hot Fix 细节:
6.3.0.5：
Cisco_FTD_Hotfix_AV-6.3.0.6-3.sh.REL.tar
Cisco_FTD_SSP_Hotfix_AV-6.3.0.6-3.sh. REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_AV-6.3.0.6-3.sh.REL.tar
6.4.0.9：
Cisco_FTD_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_BM-6.4.0.10-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_BM-6.4.0.10-2.sh.REL.tar
6.5.0.4：
Cisco_FTD_Hotfix_O-6.5.0.5-3.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_O-6.5.0.5-3.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_O-6.5.0.5-3.sh.REL.tar
Cisco_FTD_SSP_Hotfix_O-6.5.0.5-3.sh.REL.tar
要升级到Cisco FTD 的修复版本，客户可以执行以下操作之一:
对于使用Cisco Firepower Management Center（FMC）的设备，请使用FMC 界面安装升级。安装完成后，重新应用访问控制策略。
对于使用Cisco Firepower Device Manager (FDM) 的设备，请使用FDM 界面来安装升级。安装完成后，重新应用访问控制策略。
参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2020-3452https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86
信息技术中心
2020年7月31日