if ( !emtpy($headline_subheadline ) ) : ?>
Une faille dans le VPN SSL d’accès à distance permet aux attaquants de faire planter des appareils à distance ; il n’y a pas de solution de contournement, mais il existe des correctifs.
endif; ?>
Une faille de haute gravité dans le service VPN SSL d’accès à distance de l’appliance de sécurité adaptative (ASA) du pare-feu sécurisé Cisco et de la défense contre les menaces du pare-feu sécurisé (FTD) de Cisco est activement exploitée pour faire planter les appareils vulnérables.
La vulnérabilité, identifiée comme CVE-2026-76418 et évaluée à 8,6 en termes de gravité, est due à des erreurs logiques lorsque l’authentification secondaire est configurée sur un groupe de tunnels, a indiqué Cisco dans son avis. Cela pourrait permettre à un attaquant distant non authentifié d’envoyer une requête contrefaite lors de la connexion au VPN d’accès à distance SSL, ce qui entraînerait un rechargement de l’appareil et donc un déni de service.
Produits vulnérables
« Si la configuration en cours contient le webvpn mot-clé et que le VPN SSL est activé sur au moins une interface, la configuration est vulnérable », indique l’avis. tunnel-group-list enable est configuré, vérifiez tous les groupes de tunnels, y compris le groupe de tunnels par défaut, DefaultWEBVPNGrouppour secondary-authentication-server-group. Si tunnel-group-list enable est absent ou a été supprimé à l’aide du no tunnel-group-list enable commande, vérifiez le groupe de tunnels par défaut, DefaultWEBVPNGrouppour secondary-authentication-server-group car la désactivation de la liste des groupes ne supprime pas l’exposition lorsque ce groupe par défaut utilise une authentification secondaire.
L’entreprise affirme qu’il n’existe aucune solution de contournement.
Cisco a publié des correctifs dans les versions 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 et 9.24.10.1 de Secure Firewall ASA.
Les versions corrigées pour Secure FTD sont les versions 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1.
Pour aider les clients à isoler les produits vulnérables, Cisco fournit Cisco Software Checker, qui identifie les logiciels concernés par les avis de sécurité et renvoie la première version corrigeant les failles.
Atténuation
Cisco exhorte ses clients à mettre à jour immédiatement mais propose une atténuation temporaire de la faille : désactivez l’authentification secondaire sur toute liste de groupes de tunnels configurés par l’utilisateur ou sur le groupe de tunnels par défaut, DefaultWEBVPNGroup.
Cependant, il a averti : « Bien que cette atténuation ait été déployée et ait fait ses preuves dans un environnement de test, les clients doivent déterminer l’applicabilité et l’efficacité dans leur propre environnement et dans leurs propres conditions d’utilisation. Les clients doivent être conscients que toute solution de contournement ou atténuation mise en œuvre peut avoir un impact négatif sur la fonctionnalité, les performances et/ou l’état de sécurité de leur réseau en fonction des scénarios et des limites de déploiement intrinsèques du client. «
