Aktywnie wykorzystywana w atakach
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Buffer Overflow Vulnerability
Cisco - Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense · Figuruje w katalogu CISA KEV od 2025-09-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: The KEV due date refers to the deadline by which FCEB agencies are expected to review and begin implementing the guidance outlined in Emergency Directive (ED) 25-03 (URL listed below in Notes). Agencies must follow the mitigation steps provided by CISA (URL listed below in Notes) and vendor’s instructions (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.
CVE-2025-20333
KrytyczneCVSS 9.9KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność w serwerze VPN Cisco Secure Firewall ASA i FTD umożliwia uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu na urządzeniu. Problem wynika z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP(S). Udany atak może pozwolić na wykonanie kodu jako root, co może prowadzić do całkowitego przejęcia urządzenia.
Ocena ryzyka
Ryzyko całkowitego przejęcia urządzenia przez atakującego z ważnymi danymi VPN, co może prowadzić do naruszenia integralności sieci i dostępu do poufnych danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez Cisco oraz ograniczenie dostępu do serwera VPN tylko dla zaufanych użytkowników.
Inne podatności w Cisco Secure Firewall ASA/FTD
Zobacz wszystkie- CVE-2026-20349WysokieAktywnie exploitowane
Podatność w usłudze Remote Access SSL VPN w oprogramowaniu Cisco Secure Firewall ASA i FTD może umożliwić nieuwierzytelnionemu, zdalnemu atakującemu spowodowanie przeładowania urządzenia, co prowadzi do odmowy usługi (DoS). Problem wynika z niewystarczającego sprawdzania błędów podczas przetwarzania żądań HTTP. Atak polega na wysłaniu spreparowanego żądania HTTP do usługi VPN.
- CVE-2025-20362ŚrednieAktywnie exploitowane
Podatność w serwerze VPN Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu dostęp do ograniczonych punktów URL związanych z VPN, które powinny być niedostępne bez uwierzytelnienia. Problem wynika z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP(S). Udany atak pozwala na dostęp do ograniczonego URL bez uwierzytelnienia.
- CVE-2026-20121Średnie
Podatność w implementacji Object Group Search (OGS) list kontroli dostępu (ACL) w oprogramowaniu Cisco Secure Firewall ASA oraz Cisco Secure Firewall Threat Defense (FTD). Wynika z błędu logicznego przy wypełnianiu grupowych polityk kontroli dostępu (ACP) z włączonym OGS. Nieuwierzytelniony zdalny atakujący może wysłać ruch, który powinien być zablokowany, i ominąć skonfigurowane kontrole dostępu.
- CVE-2026-20120Średnie
Podatność w implementacji Object Group Search (OGS) list kontroli dostępu (ACL) w oprogramowaniu Cisco Secure Firewall ASA oraz Cisco Secure Firewall Threat Defense (FTD). Wynika z błędu logicznego przy wypełnianiu grupowych polityk kontroli dostępu (ACP) z włączonym OGS. Nieuwierzytelniony zdalny atakujący może wysłać ruch, który powinien być zablokowany, i ominąć skonfigurowane kontrole dostępu.
- CVE-2026-20021Średnie
Podatność w protokole OSPF w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia uwierzytelnionemu sąsiadującemu atakującemu wyczerpanie pamięci na urządzeniu, co prowadzi do warunku DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania pakietów OSPF. Atak polega na wysyłaniu spreparowanych pakietów OSPF, co może doprowadzić do wyczerpania pamięci i przerwy w działaniu.
- CVE-2026-20020Średnie
Podatność w protokole OSPF w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu sąsiadującemu atakującemu spowodowanie nieoczekiwanego przeładowania urządzenia, co prowadzi do warunku DoS. Jeśli uwierzytelnianie OSPF jest włączone, atakujący musi znać tajny klucz. Wynika to z niedostatecznej walidacji danych wejściowych podczas przetwarzania pakietów OSPF update. Wysyłanie spreparowanych pakietów może spowodować przepełnienie bufora i przeładowanie urządzenia.
- CVE-2026-20102Średnie
Podatność w funkcji SAML 2.0 single sign-on (SSO) w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) przeciwko funkcji SAML i dostęp do wrażliwych informacji przeglądarki. Wynika to z niedostatecznej walidacji danych wejściowych w parametrach HTTP. Atak wymaga nakłonienia użytkownika do kliknięcia złośliwego linku.
- CVE-2026-20070Średnie
Podatność w komponencie VPN web services w oprogramowaniu Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku XSS przeciwko przeglądarce użytkownika. Wynika to z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP. Atak polega na nakłonieniu użytkownika do odwiedzenia złośliwej strony, co może pozwolić na wykonanie dowolnego kodu HTML lub skryptu w kontekście serwera VPN.
- CVE-2025-20224Średnie
Podatność w module IKEv2 oprogramowania Cisco Secure Firewall ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu wywołanie wycieku pamięci, prowadzącego do odmowy usługi (DoS). Problem wynika z nieprawidłowego parsowania pakietów IKEv2.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an authenticated, remote attacker to execute arbitrary code on an affected device. This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker with valid VPN user credentials could exploit this vulnerability by sending crafted HTTP requests to an affected device. A successful exploit could allow the attacker to execute arbitrary code as root, possibly resulting in the complete compromise of the affected device.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS