Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 2 (23.04.18):
Cisco hat seinen Sicherheitshinweis cisco-sa-20180418-asaanyconnect
(CVE-2018-0229) aktualisiert und Referenzen auf die Dokumentation zu ASA
und AnyConnect ergänzt, um auf die Notwendigkeit hinzuweisen, dass sowohl
ASA als auch FTD Software und der AnyConnect Client für eine komplette
Behebung der Schwachstelle aktualisiert werden müssen. Weiterhin hat Cisco
seinen Sicherheitshinweis cisco-sa-20180418-asawvpn (CVE-2018-0242)
hinsichtlich der Zusammenfassung aktualisiert, um klarzustellen, dass nur
der Login-Bildschirm des ‘Clientless SSL VPN’ Portals betroffen ist.
Version 1 (19.04.18):
Neues Advisory

Eine Schwachstelle in Cisco Adaptive Security Appliance ermöglicht einem
entfernten, nicht authentisierten Angreifer das Umgehen von
Sicherheitsvorkehrungen. Mehrere weitere Schwachstellen in der Cisco
Adaptive Security Appliance (ASA) Software und Cisco Firepower Threat
Defense Software ermöglichen u.a. einem entfernten, nicht authentisierten
Angreifer die Durchführung verschiedener Denial-of-Service (DoS)- und Cross-
Site-Scripting (XSS)-Angriffe.

Laut Hersteller sind die Schwachstelle zwar öffentlich bekannt, werden aber
nicht aktiv ausgenutzt. Der Hersteller weist auch darauf hin, dass die ASA-
Software vor Version 9.1 und in den Versionszweigen 9.3 und 9.5 nicht mehr
mit Updates versorgt wird. Benutzer der Software werden angewiesen, auf die
nicht verwundbaren Versionen der jeweils höheren Versionszweige zu
migrieren. Dies sind 9.1.7.20, 9.4.4.14 und 9.6.3.20. Die Versionen
9.2.4.27, 9.7.1.24, 9.8.2.28 und 9.9.2.1 stehen ebenfalls als
Sicherheitsupdates zur Verfügung.

Darüber hinaus ist die Cisco Firepower Threat Defense (FTD) Software ab
Version 6.0 verwundbar. Es stehen drei Hotfixes zur Behebung der
Schwachstelle zur Verfügung, von denen einer speziell für Cisco Firepower
2100 Series Security Appliances entwickelt wurde.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-0748]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html