CVE-2009-1203 (CNNVD-200906-388)

MEDIUM 有利用代码
中文标题:
Cisco ASA设备FTP或CIFS认证表单凭据泄露漏洞
英文标题:
WebVPN on the Cisco Adaptive Security Appliances (ASA) device with software 8.0(4), 8.1.2, and 8.2.1...
CVSS分数: 6.0
发布时间: 2009-06-25 17:00:00
漏洞类型: 其他
状态: PUBLISHED
数据质量分数: 0.30
数据版本: v4
漏洞描述
中文描述:

Cisco自适应安全设备(ASA)是可提供安全和VPN服务的模块化平台 。 当用户使用Web VPN访问FTP或CIFS目标时，所生成的URL中目标资源类型(scheme)和主机名首先经过Rot13编码，然后16进制编码后放在ASA的URL中。以下URL试图连接到ftp.example.com： /+CSCOE+/files/browse.html?code=init&;path=ftp%3A%2F%2F7367632e726b6e7a6379722e70627a ASA首先试图使用匿名凭据连接到FTP服务器或CIFS共享，如果失败会提示用户提供登录凭据。在查看的时候提交表单不会提示其用途，外观也非常类似于Web VPN的主登录页面。如果攻击者向用户发送了URL，用户很可能认为需要向Web VPN重新提交凭据，然后ASA会将凭据转发给攻击者的FTP或CIFS服务器。

英文描述:

WebVPN on the Cisco Adaptive Security Appliances (ASA) device with software 8.0(4), 8.1.2, and 8.2.1 does not properly distinguish its own login screen from the login screens it produces for third-party (1) FTP and (2) CIFS servers, which makes it easier for remote attackers to trick a user into sending WebVPN credentials to an arbitrary server via a URL associated with that server, aka Bug ID CSCsy80709.

CWE类型:
（暂无数据）
标签:
remote hardware David Byrne OSVDB-55580
受影响产品
厂商 产品 版本 版本范围 平台 CPE
cisco adaptive_security_appliance 8.0\(4\) - - cpe:2.3:a:cisco:adaptive_security_appliance:8.0\(4\):*:*:*:*:*:*:*
cisco adaptive_security_appliance 8.1.2 - - cpe:2.3:a:cisco:adaptive_security_appliance:8.1.2:*:*:*:*:*:*:*
cisco adaptive_security_appliance 8.2.1 - - cpe:2.3:a:cisco:adaptive_security_appliance:8.2.1:*:*:*:*:*:*:*
cisco adaptive_security_appliance * - - cpe:2.3:h:cisco:adaptive_security_appliance:*:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
20090624 Trustwave's SpiderLabs Security Advisory TWSL2009-002 mailing-list
cve.org
访问
1022457 vdb-entry
cve.org
访问
ADV-2009-1713 vdb-entry
cve.org
访问
35475 vdb-entry
cve.org
访问
35511 third-party-advisory
cve.org
访问
ExploitDB EDB-33054 EXPLOIT
exploitdb
访问
Download Exploit EDB-33054 EXPLOIT
exploitdb
访问
CVE Reference: CVE-2009-1203 ADVISORY
cve.org
访问
CVSS评分详情
6.0
MEDIUM
CVSS向量: AV:N/AC:M/Au:S/C:P/I:P/A:P
CVSS版本: 2.0
机密性
PARTIAL
完整性
PARTIAL
可用性
PARTIAL
时间信息
发布时间:
2009-06-25 17:00:00
修改时间:
2024-08-07 05:04:48
创建时间:
2025-11-11 15:33:00
更新时间:
2025-11-11 16:27:43
利用信息
此漏洞有可利用代码！
利用代码数量: 1
利用来源:
未知
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2009-1203 2025-11-11 15:18:09 2025-11-11 07:33:00
NVD nvd_CVE-2009-1203 2025-11-11 14:52:59 2025-11-11 07:41:47
CNNVD cnnvd_CNNVD-200906-388 2025-11-11 15:09:05 2025-11-11 07:49:36
EXPLOITDB exploitdb_EDB-33054 2025-11-11 15:05:22 2025-11-11 08:27:43
版本与语言
当前版本: v4
主要语言: EN
支持语言:
EN ZH
其他标识符:
:
:
安全公告
暂无安全公告信息
变更历史
v4 EXPLOITDB
2025-11-11 16:27:43
references_count: 5 → 8; tags_count: 0 → 4; data_sources: ['cnnvd', 'cve', 'nvd'] → ['cnnvd', 'cve', 'exploitdb', 'nvd']
查看详细变更
  • references_count: 5 -> 8
  • tags_count: 0 -> 4
  • data_sources: ['cnnvd', 'cve', 'nvd'] -> ['cnnvd', 'cve', 'exploitdb', 'nvd']
v3 CNNVD
2025-11-11 15:49:36
vulnerability_type: 未提取 → 其他; cnnvd_id: 未提取 → CNNVD-200906-388; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 其他
  • cnnvd_id: 未提取 -> CNNVD-200906-388
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:41:47
cvss_score: 未提取 → 6.0; cvss_vector: NOT_EXTRACTED → AV:N/AC:M/Au:S/C:P/I:P/A:P; cvss_version: NOT_EXTRACTED → 2.0; affected_products_count: 0 → 4; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • cvss_score: 未提取 -> 6.0
  • cvss_vector: NOT_EXTRACTED -> AV:N/AC:M/Au:S/C:P/I:P/A:P
  • cvss_version: NOT_EXTRACTED -> 2.0
  • affected_products_count: 0 -> 4
  • data_sources: ['cve'] -> ['cve', 'nvd']