CISA varuje před závažnými zranitelnostmi v Cisco ASA a FTD — okamžitě patchujte
Americká kyberbezpečnostní agentura CISA vydala naléhavé varování kvůli dvěma kritickým chybám (CVE-2025-20333 a CVE-2025-20362) v Cisco Secure Firewall ASA a FTD (Firepower Threat Defense), které jsou již aktivně zneužívány. Tyto zranitelnosti mohou umožnit útočníkům vzdálené spuštění kódu jako root nebo přístup k citlivým webovým koncovým bodům.
Kdy a co se stalo?
-
Zpráva CISA a technické detailní advisory byly publikovány 25. září 2025, když CISA vydala Emergency Directive 25-03.
-
Podle Cisco je už známo, že útočníci tyto zranitelnosti využívají – tj. nejde o hypotetické riziko, ale o reálné, aktivní zneužívání.
-
Dle analýzy SANS NewsBites byla došlo k exploataci již od května 2025.
Technické podrobnosti zranitelností
CVE-2025-20333
- Jedná se o chybu v HTTP(S) webovém serveru VPN v zařízeních ASA a FTD.
- Útočník, který má platné VPN přihlašovací údaje, může poslat upravené HTTP požadavky a vykonat libovolný kód jako root.
- Podle Cisco PSIRT a CISA je tato zranitelnost „attempted exploitation“ – útočníci už testují nebo ji využívají.
CVE-2025-20362
- Tato chyba umožňuje neautentizovaný přístup k určitým URL endpointům VPN web serveru, které by normálně měly být chráněny.
- V praxi může útočník bez přihlašovacích údajů odesílat upravené HTTP požadavky a získat přístup, ke kterému by neměl mít oprávnění.
- Navíc byla zaznamenána nová varianta útoku: Cisco uvedlo, že nepatcheovaná zařízení mohou neočekávaně „rebootovat“, což může znamenat útok vedoucí k DoS (denial of service).
Kde spočívá nebezpečí a kdo je ohrožen?
-
CISA označila riziko jako vysoké pro velké a střední organizace, zvlášť pro vládní subjekty.
-
Útočníci, kteří tyto zranitelnosti zneužívají, jsou spojováni s kampaní ArcaneDoor — podle CISA a dalších zdrojů má tento aktér schopnost manipulovat s ROM zařízení a zajistit si perzistenci (tedy zůstat v zařízení i po restartu).
-
Pokud útočník získá kontrolu nad ASA / FTD firewallem, může vnést malware, provádět ransomware útoky, vést infostealery – nebo jednoduše upravovat firmware pro trvalý přístup.
-
Podle Shadowserver Foundation bylo identifikováno desítky tisíc zranitelných zařízení, která jsou stále připojena a potenciálně ohrožena.
…. a doporučení?
-
Okamžitě aplikovat záplaty: CISA a Cisco vyzývají všechny organizace, které používají ASA / FTD se zapnutými webovými službami, aby přešly na právě uvedené „fixed“ verze softwaru.
-
Provést detekci a forenzní analýzu: V rámci Emergency Directive 25-03 CISA poskytla instrukce pro tzv. „core dump and hunt“ — organizace mají provést dumpy paměti, analyzovat je a zaslat CISA, pokud detekují známky kompromitace.
-
Inventarizace zařízení: Identifikujte všechna ASA a Firepower zařízení v síti, zejména ta s webovým přístupem.
-
Odpojení ohrožených zařízení: Pokud některé zařízení nelze rychle zabezpečit nebo je již nepatcheovatelné, CISA doporučuje jejich odpojení či dekomisionování.
-
Obnova přihlašovacích údajů: Po úspěšném zajištění zařízení by měly být přehodnoceny VPN pověření a případně změněny přihlašovací údaje.
Je problém stále aktuální?
Ano — podle dostupných informací je situace velmi aktuální:
-
Varování CISA bylo vydáno relativně nedávno (září 2025).
-
Některé zdroje uvádějí, že některé organizace chybně aplikovaly záplaty, nebo je vůbec nepoužily, což zanechává rizikové aparáty v síti.
-
Dle SANS NewsBites CISA apeluje, aby organizace „aktualizovaly VŠECHNA zařízení ASA a Firepower, nejen ta veřejně přístupná“.
-
Greynoise upozorňuje, že perzistence po útoku může vyžadovat nejen patch, ale i reimaging zařízení a rotaci přístupových dat.
Dopad pro české organizace
I když je CISA americká agentura a nouzová směrnice (Emergency Directive) primárně cílí na federální subjekty USA, varování má širší dopad:
-
Firmy po celém světě používající Cisco ASA nebo FTD (např. pro VPN brány) by měly brát tyto zranitelnosti vážně, protože aktivní exploatace nemusí zůstat jen v USA.
-
Správci sítí a bezpečnostní oddělení by měli provést audit svých Cisco zařízení, ověřit verze softwaru a zkontrolovat, zda aplikovali patch.
-
Doporučuje se zavést forenzní analýzu těchto zařízení pro ověření, zda u nich nedošlo k průniku (např. CISA core dump instrukce mohou posloužit jako inspirace, i pokud nejde o federální subjekt).
Zranitelnosti v Cisco ASA a FTD představují vážnou a aktuální hrozbu.
Útoky probíhají, exploity jsou potvrzené a zařízení bez záplat nabízí útočníkům přímý vstup do sítě.
Důrazně doporučujeme neodkládat aktualizace a provést kontrolu všech Cisco zařízení v infrastruktuře.
