CVE-2025-20362 interessa i dispositivi Cisco Adaptive Security Appliance (ASA) Software e Firepower Threat Defense (FTD) Software che hanno i servizi del server web VPN (WebVPN) abilitati. La vulnerabilità risiede nel componente dei servizi web VPN ed è causata dalla mancanza di controlli di autorizzazione. Inviando richieste HTTP(S) appositamente create, un attaccante remoto e non autenticato può accedere a endpoint URL riservati che normalmente dovrebbero richiedere autenticazione. Questo difetto è stato attivamente sfruttato in campagne mirate contro dispositivi perimetrali Cisco ed è stato aggiunto al Catalogo delle Vulnerabilità Sfruttate Conosciute (KEV) della CISA sotto la Direttiva d’Emergenza ED 25-03, che richiede alle agenzie federali statunitensi di identificare e mitigare i sistemi affetti.

Riassunto tecnico

Questa è una vulnerabilità da autorizzazione mancante (CWE-862) con un punteggio base CVSS v3.1 di 6.5 (Medio). Il difetto consente a un attaccante remoto non autenticato di bypassare i controlli di autorizzazione sui dispositivi Cisco ASA/FTD con i servizi web VPN abilitati.

Se sfruttato, gli attaccanti possono ottenere accesso non autorizzato a endpoint o funzionalità sensibili, fornendo un punto d’ingresso per ulteriori attacchi come la divulgazione di informazioni o lo sfruttamento di vulnerabilità aggiuntive per un compromesso più profondo.

Secondo Cisco e diversi rapporti di ricerca sulla sicurezza, questa vulnerabilità è stata attivamente sfruttata in ambiente reale come parte di campagne di minaccia avanzate (notoriamente collegate a UAT4356 / Storm-1849) contro dispositivi Cisco ASA e FTD. Gli attaccanti combinano questa falla con altre vulnerabilità zero-day (es. CVE-2025-20333) per ottenere accesso persistente e nascosto.

Raccomandazioni

1. Patch immediata richiesta: Eseguire l’aggiornamento alle versioni del software Cisco ASA/FTD che contengono la correzione per CVE-2025-20362 il prima possibile. Cisco ha rilasciato aggiornamenti correttivi per tutti i rami affetti.

2. Limitare l’esposizione: Disabilitare o limitare l’accesso ai componenti VPN Web Services / WebVPN da reti non attendibili se la correzione non è immediatamente applicabile.

3. Segmentazione della rete e controlli di accesso: Implementare una segmentazione di rete rigorosa, rivedere le politiche di accesso alle interfacce di gestione e limitare l’esposizione delle console di amministrazione alle reti interne.

4. Monitoraggio e ricerca delle minacce: Monitorare attivamente i log del server web VPN e il traffico di rete per individuare tentativi di accesso sospetti o non autorizzati. Seguire le linee guida di Cisco e CISA per identificare eventuali compromissioni.

5. Prontezza alla risposta agli incidenti: Se si sospetta una compromissione, eseguire analisi forense sul dispositivo, ruotare le credenziali e seguire i passaggi di correzione pubblicati da Cisco per dispositivi ASA/FTD compromessi.