سیسکو، ششم مارس ۲۰۲۴ وصله‌هایی را برای رفع یک نقص امنیتی با شدت بالا به نام آسیب پذیری CRLF injection منتشر کرد که بر نرم‌افزار Secure Client تأثیر می‌گذارد و می‌تواند توسط یک عامل تهدید برای باز کردن یک نشست VPN با یک کاربر هدف مورد سوء استفاده قرار گیرد.
این آسیب‌پذیری با شناسهCVE -2024-20337 (امتیاز CVSS: 8.2) دنبال می‌شود و به یک مهاجم احراز هویت نشده و از راه دور اجازه می‌دهد تا یک حمله CRLF injection را علیه کاربر به انجام رساند. در نتیجهء اعتبار سنجی ناکافی ورودی های ارائه شده توسط کاربر، یک عامل تهدید می‌تواند از این نقص سوء استفاده کند تا کاربر را فریب دهد در هنگام ایجاد یک نشست VPN، روی یک پیوند ساخته شده ویژه کلیک نماید.
یک اکسپلویت موفق می‌تواند به مهاجم اجازه دهد تا کد اسکریپت دلخواه را در مرورگر اجرا کند و یا به اطلاعات حساس و مبتنی بر مرورگر، از جمله توکن SAML معتبر دسترسی یابد.
مهاجم سپس می‌تواند از توکن برای ایجاد یک نشست VPN دسترسی از راه دور با همان سطح دسترسی کاربر آسیب دیده سوء استفاده کند. میزبان‌ها و سرویس‌های جداگانه پشت سر VPN همچنان به گواهی‌های اعتبار اضافی برای دسترسی موفق نیاز دارند.
این آسیب پذیری بر Secure Client ویندوز، لینوکس و macOS تأثیر می‌گذارد و در نسخه‌های زیر برطرف شده است:
- نسخه های جدیدتر از 4.10.04065 (آسیب پذیر نیستند)
- نسخه 4.10.04065 و جدیدتر (آسیب پذیری در نسخه 4.10.08025 برطرف شده است)
- 0 (مهاجرت به نسخه جدید)
- 1 (آسیب پذیری در نسخه 5.1.2.42 برطرف شده است)
محقق امنیتی آمازون، پائولوس ییبلو مسفین، با کشف و گزارش این نقص، به هکر نیوز اعلام کرد که این نقص به مهاجمان اجازه می‌دهد تا زمانی که یک هدف از وب سایت تحت کنترل آنها بازدید می‌کند، به شبکه‌های داخلی لوکال دسترسی داشته باشند.
سیسکو همچنین اصلاحاتی را برای CVE-2024-20338 منتشر کرده است (امتیاز CVSS: 7.3)، یکی دیگر از نقص‌های امنیتی با شدت بالا در Secure Client برای لینوکس که می‌تواند به مهاجم لوکال احراز هویت شده اجازه دهد تا سطح دسترسی خود را در دستگاه آسیب دیده افزایش دهد. این آسیب پذیری در نسخه 5.1.2.42 برطرف شده است.
یک مهاجم می‌تواند با کپی کردن یک فایل کتابخانه مخرب در یک دایرکتوری خاص در سیستم فایل و متقاعد ساختن admin برای راه‌اندازی مجدد یک فرآیند خاص، از این آسیب پذیری سوء استفاده کند. یک اکسپلویت موفق می‌تواند به مهاجم اجازه دهد تا کد دلخواه را بر روی دستگاه آسیب دیده با سطح دسترسی root اجرا کند.
