CVE-2025-20224
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w module IKEv2 oprogramowania Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wywołanie wycieku pamięci, prowadzącego do odmowy usługi (DoS). Problem wynika z nieprawidłowego parsowania pakietów IKEv2.
Ocena ryzyka
Atak może spowodować częściowe wyczerpanie pamięci systemowej, uniemożliwiając nawiązywanie nowych sesji VPN IKEv2, co wymaga ręcznego restartu urządzenia w celu odzyskania sprawności.
Rekomendacja
Zaleca się zastosowanie aktualizacji dostarczonej przez producenta oraz monitorowanie urządzeń pod kątem nietypowego ruchu IKEv2.
Inne podatności w Cisco Secure Firewall ASA/FTD
Zobacz wszystkie- CVE-2026-20349WysokieAktywnie exploitowane
Podatność w usłudze Remote Access SSL VPN w oprogramowaniu Cisco Secure Firewall ASA i FTD może umożliwić nieuwierzytelnionemu, zdalnemu atakującemu spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z niewystarczającego sprawdzania błędów podczas przetwarzania żądań HTTP. Atak polega na wysłaniu spreparowanego żądania HTTP do usługi VPN.
- CVE-2025-20362ŚrednieAktywnie exploitowane
Podatność w serwerze VPN Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu dostęp do ograniczonych punktów URL związanych z VPN, które powinny być niedostępne bez uwierzytelnienia. Problem wynika z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP(S). Udany atak pozwala na dostęp do ograniczonego URL bez uwierzytelnienia.
- CVE-2025-20333KrytyczneAktywnie exploitowane
Podatność w serwerze VPN Cisco Secure Firewall ASA i FTD umożliwia uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu na urządzeniu. Problem wynika z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP(S). Udany atak może pozwolić na wykonanie kodu jako root, co może prowadzić do całkowitego przejęcia urządzenia.
- CVE-2026-20121Średnie
Podatność w implementacji Object Group Search (OGS) list kontroli dostępu (ACL) w oprogramowaniu Cisco Secure Firewall ASA oraz Cisco Secure Firewall Threat Defense (FTD). Wynika z błędu logicznego przy wypełnianiu grupowych polityk kontroli dostępu (ACP) z włączonym OGS. Nieuwierzytelniony zdalny atakujący może wysłać ruch, który powinien być zablokowany, i ominąć skonfigurowane kontrole dostępu.
- CVE-2026-20120Średnie
Podatność w implementacji Object Group Search (OGS) list kontroli dostępu (ACL) w oprogramowaniu Cisco Secure Firewall ASA oraz Cisco Secure Firewall Threat Defense (FTD). Wynika z błędu logicznego przy wypełnianiu grupowych polityk kontroli dostępu (ACP) z włączonym OGS. Nieuwierzytelniony zdalny atakujący może wysłać ruch, który powinien być zablokowany, i ominąć skonfigurowane kontrole dostępu.
- CVE-2026-20021Średnie
Podatność w protokole OSPF w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia uwierzytelnionemu sąsiadującemu atakującemu wyczerpanie pamięci na urządzeniu, co prowadzi do warunku DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania pakietów OSPF. Atak polega na wysyłaniu spreparowanych pakietów OSPF, co może doprowadzić do wyczerpania pamięci i przerwy w działaniu.
- CVE-2026-20020Średnie
Podatność w protokole OSPF w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu sąsiadującemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do warunku DoS. Jeśli uwierzytelnianie OSPF jest włączone, atakujący musi znać tajny klucz. Wynika to z niedostatecznej walidacji danych wejściowych podczas przetwarzania pakietów OSPF update. Wysyłanie spreparowanych pakietów może spowodować przepełnienie bufora i przeładowanie urządzenia.
- CVE-2026-20102Średnie
Podatność w funkcji SAML 2.0 single sign-on (SSO) w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) przeciwko funkcji SAML i dostęp do wrażliwych informacji przeglądarki. Wynika to z niedostatecznej walidacji danych wejściowych w parametrach HTTP. Atak wymaga nakłonienia użytkownika do kliknięcia złośliwego linku.
- CVE-2026-20070Średnie
Podatność w komponencie VPN web services w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku XSS przeciwko przeglądarce użytkownika. Wynika to z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP. Atak polega na nakłonieniu użytkownika do odwiedzenia złośliwej strony, co może pozwolić na wykonanie dowolnego kodu HTML lub skryptu w kontekście serwera VPN.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the Internet Key Exchange Version 2 (IKEv2) module of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to trigger a memory leak, resulting in a denial of service (DoS) condition. This vulnerability is due to improper parsing of IKEv2 packets. An attacker could exploit this vulnerability by sending a continuous stream of crafted IKEv2 packets to an affected device. A successful exploit could allow the attacker to partially exhaust system memory, causing system instability like being unable to establish new IKEv2 VPN sessions. A manual reboot of the device is required to recover from this condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS