CVE-2024-20353: A vulnerability in the management and VPN web servers for Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat…
Noroxi değerlendirmesi
Öncelik: Hemen (aksiyon skoru 85/100)
- CISA bu açığın sahada sömürüldüğünü doğruladı (24 Nis 2024). ABD kamu kurumları için kapatma son tarihi 1 May 2024.
- Önümüzdeki 30 günde sömürülme olasılığı %69,8 (FIRST EPSS); kayıtların %99,3 kadarından yüksek.
- İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
- CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
- Kayda göre henüz düzeltme sürümü yok.
- Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.
Bugün yamayın ya da erişimi kapatın. Düzeltme yayımlanana kadar etkilenen bileşene erişimi kısıtlayın ve üreticinin duyurusunu izleyin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS
A vulnerability in the management and VPN web servers for Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition. This vulnerability is due to incomplete error checking when parsing an HTTP header. An attacker could exploit this vulnerability by sending a crafted HTTP request to a targeted web server on a device. A successful exploit could allow the attacker to cause a DoS condition when the device reloads.
- Yayın
- 24 Nis 2024
- Güncelleme
- 11 Ağu 2026
- EPSS
- %69,8 · 99. yüzdelik
- CWE
- CWE-835
Rapor araçları
Aksiyon skoru
85
Bugün yamayın ya da erişimi kapatın.
- CVSS
- 34 / 40 · 8.6 / 10
- CISA KEV
- 30 / 30 · Listede
- EPSS
- 21 / 30 · %69,8
CISA SSVC kararı
- Sömürü
- aktif
- Otomatikleştirilebilir
- evet
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 8,6
- CNA · cisco
- 8,6
- uyumlu
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Sahada aktif sömürülüyor
CISA bu zafiyeti 24 Nis 2024 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.
ABD federal kurumları için son yama tarihi: 1 May 2024.
Bu kayıt değişirse haber alın
- CISA KEV'de: sahada sömürüldüğü doğrulandı
- Silahlaştırılmış istismar var
- Düzeltme sürümü henüz yok
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
Sürümünüz etkileniyor mu? Kontrol edinNoroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| cisco | adaptive security appliance software | cpe:2.3:o:cisco:adaptive_security_appliance_software |
| cisco | secure firewall threat defense | cpe:2.3:a:cisco:secure_firewall_threat_defense |
Bu ürünü (adaptive security appliance software) kullanıyor musunuz? Stack’inize ekleyin; bunun gibi kayıtlarda ilk siz haberdar olun. (Güvenlik duvarı)
Üreticinin bildirdiği sürümler
Kaydı açan otorite (cisco) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Cisco Cisco Adaptive Security Appliance (ASA) Software
- 9.8.1, 9.8.1.5, 9.8.1.7, 9.8.2, 9.8.2.8, 9.8.2.14, 9.8.2.15, 9.8.2.17, 9.8.2.20, 9.8.2.24, 9.8.2.26, 9.8.2.28 … (+28)etkilenir
Cisco Cisco Firepower Threat Defense Software
- 6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4, 6.2.3.5, 6.2.3.6, 6.2.3.7, 6.2.3.8, 6.2.3.10, 6.2.3.11, 6.2.3.9 … (+28)etkilenir
Etkilenen sürümler · NVD (20)
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- cisco adaptive security appliance software9.12.1
- cisco adaptive security appliance software9.12.1.2
- cisco adaptive security appliance software9.12.1.3
- cisco adaptive security appliance software9.12.2
- cisco adaptive security appliance software9.12.2.1
- cisco adaptive security appliance software9.12.2.4
- cisco adaptive security appliance software9.12.2.5
- cisco adaptive security appliance software9.12.2.9
- cisco adaptive security appliance software9.12.3
- cisco adaptive security appliance software9.12.3.12
- cisco adaptive security appliance software9.12.3.2
- cisco adaptive security appliance software9.12.3.7
- cisco adaptive security appliance software9.12.3.9
- cisco adaptive security appliance software9.12.4
- cisco adaptive security appliance software9.12.4.10
- cisco adaptive security appliance software9.12.4.13
- cisco adaptive security appliance software9.12.4.18
- cisco adaptive security appliance software9.12.4.2
- cisco adaptive security appliance software9.12.4.24
- cisco adaptive security appliance software9.12.4.26
Aynı üründe
cisco: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2025-20333A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat…KEV91Hemen
- CVE-2025-20362Update: On November 5, 2025, Cisco became aware of a new attack variant against devices running Cisco Secure ASA Software or Cisco Secure…KEV90Hemen
- CVE-2020-3452Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Read-Only Path Traversal VulnerabilityKEV90Hemen
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2023-202641 Kas 2023 · A vulnerability in the implementation of Security Assertion Markup Language (SAML) 2.0 single sign-on (SSO) for remote access VPN in Cisco…24İzleyin
- ← ÖncekiCVE-2023-2027512 Ara 2023 · A vulnerability in the AnyConnect SSL VPN feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense…17İzleyin
- Sonraki →CVE-2024-2035924 Nis 2024 · A vulnerability in a legacy capability that allowed for the preloading of VPN clients and plug-ins and that has been available in Cisco…KEV60Bu hafta
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- CISA KEV-1 gün
- Yayın
- Bugün14 Kas 2026+933 gün
Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)
Bu kaydı anan resmi güvenlik bildirimleri; çözüm önerisi kurumun sayfasında.
- TR-24-0340 · 25 Nis 2024(Cisco Güvenlik Bildirimi)
Bu kayıtta yok: EPSS geçmişi · yama commit'i ya da PR bağlantısı · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- yok
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
Etki, zafiyetli bileşenin ötesine geçebilir (kapsam değişir).
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişir
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Yok
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-835 · Loop with Unreachable Exit Condition ('Infinite Loop')CVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Değişiklik günlüğü (0)
Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.
Referanslar
Tüm referansları göster (1 daha)Daha az göster
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.