FICHE CVE

CVE-2011-2039

Publiée le 2011-06-02 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les clients Cisco AnyConnect sur Windows et Windows Mobile (versions antérieures à 2.3.185) ne parviennent pas à vérifier l'authenticité des fichiers exécutables téléchargés. Un attaquant distant peut exploiter cette faille pour exécuter du code arbitraire sur votre machine en incitant votre système à télécharger un fichier malveillant via un contrôle ActiveX spécifique. Bien que cela ne nécessite aucune authentification, l'attaque est difficile à réaliser car elle nécessite généralement que l'utilisateur visite un site malveillant ou interagisse avec une URL spécialement conçue.

CVSS 2.07.6 ÉLEVÉE

Type de faiblesse

Validation des entrées insuffisante · CWE-20

Publiée2011-06-02

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsÉlevée

AuthentificationAucune

Impact sur la confidentialitéComplet

Impact sur l'intégritéComplet

Impact sur la disponibilitéComplet

RÉFÉRENCES

Description officielle du NVD (en anglais)

The helper application in Cisco AnyConnect Secure Mobility Client (formerly AnyConnect VPN Client) before 2.3.185 on Windows, and on Windows Mobile, downloads a client executable file (vpndownloader.exe) without verifying its authenticity, which allows remote attackers to execute arbitrary code via the url property to a certain ActiveX control in vpnweb.ocx, aka Bug ID CSCsy00904.