Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (11.08.2015):
Cisco aktualisiert die Informationen zur Schwachstelle und benennt jetzt
auch die Cisco AnyConnect Secure Mobility Client Versionen 3.0.0, 3.1.0,
4.0.0 und 4.1.0 als verwundbar.
Version 1 (03.08.2015):
Neues Advisory

Betroffene Software:

Cisco AnyConnect Secure Mobility Client 3.0.0
Cisco AnyConnect Secure Mobility Client 3.1.0
Cisco AnyConnect Secure Mobility Client 4.0(2049)
Cisco AnyConnect Secure Mobility Client 4.0.0
Cisco AnyConnect Secure Mobility Client 4.1.0

Betroffene Plattformen:

Cisco AnyConnect Secure Mobility Client

Wenn ein entfernter, nicht authentifizierter Angreifer einen Benutzer dazu
bringen kann, sich mit einem bösartigen Head-End System zu verbinden, ist es
ihm möglich, Konfigurationsattribute zurückzusenden, die ihm die Möglichkeit
verschaffen, einen Verzeichnis-Traversierungs (Directory Traversal)-Angriff
durchzuführen.
Eine erfolgreiche Ausnutzung der Schwachstelle ermöglicht dem Angreifer,
beliebige Dateien zu lesen und zu überschreiben, auf die der Nutzer Lese-
und Schreibzugriff hat.

Cisco hat die Schwachstelle bestätigt und stellt Sicherheitsupdates zur
Verfügung.

Patch:

Cisco Vulnerability Alert Cisco-Alert-CVE-2015-4289

http://tools.cisco.com/security/center/viewAlert.x?alertId=40175

CVE-2015-4289: Schwachstelle in Cisco AnyConnect Secure Mobility Client
ermöglicht die Manipulation von Dateien

Eine Schwachstelle im Cisco AnyConnect Secure Mobility Client besteht
aufgrund einer fehlerhaften Prüfung von Benutzereingaben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1177/

Cisco Vulnerability Alert Cisco-Alert-CVE-2015-4289:
http://tools.cisco.com/security/center/viewAlert.x?alertId=40175

Schwachstelle CVE-2015-4289 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-4289

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.