[TLP:CLEAR] Cisco opravuje 20 zranitelností, z toho 2 aktivně zneužívané
Cisco opravuje 20 zranitelností v různých produktech. Nejzávažnější z nich naleznete níže. Zbylé, včetně seznamu zranitelných produktů naleznete na [1] po rozkliknutí jednotlivých varování. Zranitelnosti CVE-2025-20333 a CVE-2025-20362 v Cisco Secure Firewall Adaptive Security Appliance (ASA) a Secure Firewall Threat Defense (FTD) byly zařazeny do katalogu známých zneužívaných zranitelností agentury CISA [2]. Produkty a jejich opravené verze: Cisco ASA Software - 9.12.4.72, 9.14.4.28, 9.16.4.85, 9.18.4.67, 9.20.4.10, 9.22.2.14, 9.23.1.19 [3] Cisco FTD Software - 7.0.8.1, 7.2.10.2, 7.4.2.4, 7.6.2.1, 7.7.10.1 [3] Dostupnost opravy pro produkty Cisco IOS, IOS XE a IOS XR Software je možné ověřit pomocí nástroje Cisco Software Checker [4].
Autentizovanému vzdálenému útočníkovi s platnými VPN přihlašovacími údaji je kvůli nedostatečné validaci vstupu v HTTP(S) požadavcích VPN web serveru Cisco Secure Firewall ASA/FTD prostřednictvím speciálně vytvořených požadavků umožněno spustit libovolný kód s právy root [5].
Zranitelnost se nachází v produktech:
- Cisco Secure Firewall Adaptive Security Appliance Software
- Cisco Secure Firewall Threat Defense Software
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20333 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 9. 2025.
Neautentizovanému vzdálenému (Cisco ASA a FTD) či autentizovanému vzdálenému (Cisco IOS, IOS XE a IOS XR Software) útočníkovi je prostřednictvím zasílání speciálně upravených HTTP požadavků na cílovou webovou službu po získání dodatečných informací o systému, obejití zmírňujících opatření nebo obojím umožněno spustit libovolný kód s právy root [6].
Zranitelnost se nachází v produktech:
- Cisco Secure Firewall Adaptive Security Appliance Software
- Cisco Secure Firewall Threat Defense Software
- Cisco IOS
- Cisco IOS XE
- Cisco IOS XR
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20363 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-122: Heap-based Buffer Overflow at cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci vstupu v subsystému HTTP API v Cisco IOS XE prostřednictvím podvrženého odkazu umožněno vložit a spustit v podkladovém operačním systému příkazy s právy root [7].
Zranitelnost se nachází v produktu Cisco IOS XE.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20334 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávnému zpracování poškozených paketů CAPWAP ve funkci NBAR v Cisco IOS XE a prostřednictvím jejich zasílání umožněno vykonat DoS útok [8].
Zranitelnost se nachází v produktu Cisco IOS XE.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20315 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-805: Buffer Access with Incorrect Length Value at cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je v Cisco IOS a IOS XE prostřednictvím odposlechu nezašifrovaných TACACS+ zpráv nebo vydáváním se za TACACS+ server umožněno zobrazit citlivé informace či obejít autentizaci a získat přístup k postiženému zařízení [9].
Zranitelnost se nachází v produktech:
- Cisco IOS XE
- Cisco IOS
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20160 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-287: Improper Authentication at cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu v HTTP(S) požadavcích umožněno prostřednictvím zasílání upravených HTTP požadavků obejít autentizaci a přistupovat k omezeným URL koncovým bodům vzdáleného přístupu VPN na zařízeních Cisco Secure Firewall ASA/FTD [10].
Zranitelnost se nachází v produktech:
- Cisco Secure Firewall Adaptive Security Appliance Software
- Secure Firewall Threat Defense Software
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N/E:X/RL:X/RC:X
Více informací:
- CVE-2025-20362 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-862: Missing Authorization at cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 9. 2025.
Odkazy
- [1] https://sec.cloudapps.cisco.com/security/center/publicationListing.x
- [2] https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- [3] https://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_continued_attacks
- [4] https://sec.cloudapps.cisco.com/security/center/softwarechecker.x
- [5] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB
- [6] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-http-code-exec-WmfP3h3O
- [7] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-cmd-inject-rPJM8BGL
- [8] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nbar-dos-LAvwTmeT
- [9] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-tacacs-hdB7thJw
- [10] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
Za CESNET-CERTS Michaela Jarošová dne 29. 9. 2025.
