Sécurité VPN : Cisco publie un patch pour une vulnérabilité critique

En début de semaine, Cisco a informé ses clients de l’existence d’une vulnérabilité dans son logiciel ASA (Cisco Adaptive Security Appliance), permettant à un hacker de prendre le contrôle à distance et d’exécuter du code sur les appareils disposant de ce logiciel.

La vulnérabilité passe par la fonctionnalité WebVPN. Cette dernière permet aux utilisateurs distants d’accéder en toute sécurité aux ressources de l’entreprise, telles que les sites Web internes, les applications Web, les e-mails… via un simple navigateur Web.

Initialement, la faille a été découverte par Cédric Halbronn  puis elle a été révélée lundi par Cisco. L’expert en sécurité IT de NCC Group Infosec prévoit de donner une conférence sur le sujet lors de la conférence Recon Brussels 2018 (2 au 4 février).

Illustration du risque que la faille fait peser sur les instances concernée : le bug « CVE-2018-010 » a reçu un score CVSS (Common Vulnerability Score System) de 10 sur 10, soit la note maximum sur cette échelle.

Cette vulnérabilité affecte donc le logiciel Cisco ASA qui s’exécute sur plus d’une dizaine de produits Cisco.

Voici la liste ci-dessous : 3000 Series Industrial Security Appliance (ISA), ASA 5500 Series Adaptive Security Appliances, ASA 5500-X Series Next-Generation Firewalls, ASA Services Module for Cisco Catalyst 6500 Series Switches et Cisco 7600 Series Routers, ASA 1000V Cloud Firewall, Adaptive Security Virtual Appliance (ASAv), Firepower 2100 Series Security Appliance, Firepower 4110 Security Appliance, Firepower 9300 ASA Security Module et Firepower Threat Defense Software (FTD).

Cisco a donc publié des mises à jour logicielles qui corrigent cette vulnérabilité que le spécialiste du matériel réseau détaille dans une note de blog.