Cisco: vulnerabilidades zero-day en el portal VPN abren los firewalls ASA a los atacantes

El portal VPN de un firewall solo debe dejar entrar a usuarios autorizados. En Cisco Secure Firewall ASA y Firepower Threat Defense (FTD), era posible burlarlo mediante dos vulnerabilidades zero-day: CVE-2025-20362 da acceso sin autenticación a zonas protegidas del servidor web VPN y CVE-2025-20333 permite ejecutar allí código malicioso con privilegios de root. Según Cisco, encadenadas otorgan a un atacante sin credenciales el control total del dispositivo. Cisco publicó las vulnerabilidades el 25 de septiembre de 2025 y la agencia estadounidense CISA emitió ese mismo día la directiva de emergencia ED 25-03. No existe ningún workaround: solo queda actualizar o desactivar los servicios web VPN.

De qué se trata

El servidor web VPN es la parte del firewall a través de la cual los empleados se conectan desde el exterior mediante AnyConnect o Secure Client. La primera vulnerabilidad, CVE-2025-20362, es una falta de comprobación de autorización: solicitudes HTTPS manipuladas alcanzan endpoints URL que solo deberían ser accesibles tras iniciar sesión. La segunda, CVE-2025-20333, es un desbordamiento de búfer que normalmente requiere credenciales VPN válidas. Es precisamente este obstáculo el que elimina la primera vulnerabilidad.

Datos clave según los avisos de Cisco del 25 de septiembre de 2025:

• Gravedad: CVE-2025-20333 con CVSS 9.9 («Critical»), CVE-2025-20362 con CVSS 6.5 («Medium»). El valor medio es engañoso: solo la combinación hace posible el ataque sin autenticación.
• Afectados: software ASA y FTD con servicios web VPN activos: SSL-VPN (webvpn), acceso remoto AnyConnect IKEv2 con Client Services y, en ASA, además Mobile User Security.
• Corregido en: según la rama de versiones; para ambas vulnerabilidades, por ejemplo, ASA 9.18.4.67, 9.20.4.10, 9.22.2.14 y 9.23.1.19, así como FTD 7.2.10.2, 7.4.2.4, 7.6.2.1 y 7.7.10.1. El Software Checker de Cisco indica la situación de su propia versión.
• Requisito para el ataque: un servicio web VPN accesible desde Internet, es decir, exactamente para lo que existe un portal VPN.
• Consecuencia: ejecución de código como root y, con ello, la toma de control total del firewall.

Ese mismo día, Cisco publicó una tercera vulnerabilidad, CVE-2025-20363 (CVSS 9.0), que además de ASA y FTD afecta también a IOS, IOS XE e IOS XR. En el momento de la publicación no había indicios de su explotación.

Por qué es urgente

Detrás de los ataques no hay un atacante oportunista. Según Cisco, varias autoridades ya recurrieron a la empresa en mayo de 2025 para investigar ataques contra dispositivos ASA de la serie 5500-X. La empresa atribuye la actividad «con un alto grado de confianza» al mismo actor que la campaña de espionaje ArcaneDoor, sobre la que Cisco informó a principios de 2024. Los atacantes desactivaban el logging, interceptaban comandos de la línea de comandos y provocaban deliberadamente la caída de los dispositivos para impedir su análisis.

Se vieron comprometidos modelos antiguos sin Secure Boot (5512-X, 5515-X, 5525-X, 5545-X, 5555-X y 5585-X). En ellos, los atacantes modificaron el ROM Monitor para sobrevivir a reinicios y actualizaciones. El NCSC británico ha analizado el malware utilizado: el bootkit RayInitiator y el loader LINE VIPER, capaz de ejecutar comandos, capturar tráfico de red y suprimir mensajes de syslog. LINE VIPER se controla, entre otras vías, a través de sesiones de inicio de sesión WebVPN, es decir, a través del mismo portal por el que se produjo la intrusión. En plataformas más recientes con Secure Boot, Cisco no ha detectado ningún compromiso exitoso.

La CISA reaccionó con una dureza inusual: las agencias federales de EE. UU. tuvieron que inventariar todos los dispositivos ASA y Firepower, entregar volcados de memoria para su análisis forense antes del 26 de septiembre, desconectar de la red antes del 30 de septiembre los dispositivos sin soporte del fabricante y actualizar de inmediato el resto. La superficie de ataque es amplia: a finales de septiembre, según Cybersecurity Dive, la Shadowserver Foundation contabilizó casi 50.000 dispositivos vulnerables accesibles desde Internet; Alemania figuraba entre los cinco países con más resultados.

Qué debería hacer ahora

1. Inventariar. Determine qué dispositivos ASA y FTD utiliza, con qué versión de software y si hay servicios web VPN activos (SSL-VPN o IKEv2 con Client Services).
2. Actualizar. Instale el fix indicado para su rama de versiones. Según Cisco, la actualización también comprueba al arrancar el ROM Monitor de los dispositivos afectados y elimina el mecanismo de persistencia conocido.
3. Sustituir el hardware antiguo. Los modelos ASA 5500-X sin Secure Boot han llegado al final de su soporte o están a punto de hacerlo. El NCSC recomienda sustituirlos siempre que sea posible.
4. Desactivar provisionalmente si la actualización no es posible de inmediato: Cisco indica como medida temporal la desactivación de todos los servicios web VPN basados en SSL/TLS. No obstante, esto interrumpe el acceso remoto a través de estos servicios.
5. Comprobar si hay compromiso. Cisco y el NCSC han publicado indicaciones y reglas de detección. En caso de sospecha, no apague el dispositivo, sino desconéctelo de la red, considere toda la configuración como no fiable y renueve todas las contraseñas, certificados y claves, preferiblemente junto con el soporte de Cisco.

Qué significa esto para la protección de los firewalls

El caso demuestra cuánto depende de un único dispositivo. El firewall debe proteger la red, pero para ello su portal VPN tiene que ser accesible desde Internet, y con ello se convierte a su vez en objetivo de ataque. En este caso, Cisco ya investigaba los ataques desde mayo y los parches llegaron en septiembre. E incluso después de la publicación hace falta tiempo hasta que cada dispositivo esté actualizado.

Por eso NetProtector actúa antes. El appliance trabaja en línea delante del firewall e inspecciona el tráfico antes de que llegue al portal VPN:

• Se bloquea la infraestructura de atacantes conocida. Los escaneos en busca de portales VPN accesibles y los intentos de ataque masivos proceden a menudo de direcciones que la red de sensores de NetProtector ya ha detectado en otro lugar. Estas fuentes se bloquean antes de que lleguen siquiera a su firewall.
• Se detectan anomalías. El sondeo sistemático de tipos de dispositivo y versiones, los intentos de inicio de sesión por fuerza bruta o una acumulación inusual de conexiones al servicio VPN destacan en el flujo de datos: patrones que a menudo preceden a los ataques dirigidos.
• Se gana tiempo hasta la actualización. NetProtector no sustituye al parche ni detecta todos los exploits dirigidos. Pero reduce el número de atacantes que llegan siquiera al portal vulnerable, precisamente en la fase en la que una vulnerabilidad es conocida pero aún no se ha cerrado en todas partes.

En la página Cómo funciona NetProtector mostramos cómo NetProtector detecta la infraestructura de los atacantes y cómo se integra entre el router y el firewall sin modificar la red.

Nuestra valoración

Cisco ha trabajado durante meses con las autoridades en la investigación y ha divulgado las vulnerabilidades junto con la CISA y el NCSC: es la forma correcta de gestionar un caso así. La lección va más allá de un solo fabricante: los portales VPN son un objetivo atractivo, también para atacantes respaldados por Estados, y los dispositivos sin mecanismos de protección actuales como Secure Boot son especialmente difíciles de defender. Por ello, la seguridad del acceso remoto requiere varias capas: actualizaciones rápidas, hardware sustituido a tiempo, inicios de sesión supervisados y una capa previa que mantenga alejados a los atacantes conocidos antes de que lleguen al firewall.

Fuentes

• Cisco Event Response: Continued Attacks Against Cisco Firewalls
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-z5xP8EUB (CVE-2025-20333)
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-YROOTUW (CVE-2025-20362)
• CISA: ED 25-03 – Identify and Mitigate Potential Compromise of Cisco Devices
• NCSC: Malware Analysis Report RayInitiator & LINE VIPER
• Cybersecurity Dive: Cisco firewall flaws endanger nearly 50,000 devices worldwide