Cisco: vulnerabilità zero-day nel portale VPN espongono i firewall ASA agli attaccanti

Il portale VPN di un firewall dovrebbe consentire l'accesso solo agli utenti autorizzati. Nei Cisco Secure Firewall ASA e Firepower Threat Defense (FTD) era possibile aggirarlo sfruttando due vulnerabilità zero-day: CVE-2025-20362 apre aree protette del server web VPN senza autenticazione, CVE-2025-20333 consente di eseguirvi codice malevolo con privilegi di root. Secondo Cisco, se concatenate, danno a un attaccante privo di credenziali il pieno controllo del dispositivo. Cisco ha pubblicato le vulnerabilità il 25 settembre 2025 e lo stesso giorno l'agenzia statunitense CISA ha emanato la direttiva di emergenza ED 25-03. Non esiste un workaround: resta solo l'aggiornamento o la disattivazione dei servizi web VPN.

Di cosa si tratta

Il server web VPN è la parte del firewall attraverso cui i dipendenti si collegano dall'esterno tramite AnyConnect o Secure Client. La prima vulnerabilità, CVE-2025-20362, è un controllo di autorizzazione mancante: richieste HTTPS manipolate raggiungono endpoint URL che dovrebbero essere accessibili solo dopo l'autenticazione. La seconda, CVE-2025-20333, è un buffer overflow che normalmente richiede credenziali VPN valide. È proprio questo ostacolo che la prima vulnerabilità elimina.

I dati principali secondo gli advisory Cisco del 25 settembre 2025:

• Gravità: CVE-2025-20333 con CVSS 9.9 („Critical“), CVE-2025-20362 con CVSS 6.5 („Medium“). Il valore medio inganna: è solo la combinazione a rendere possibile l'attacco senza autenticazione.
• Prodotti interessati: software ASA e FTD con servizi web VPN attivi – SSL VPN (webvpn), accesso remoto AnyConnect IKEv2 con Client Services e, per ASA, anche Mobile User Security.
• Risolto in: a seconda del ramo di release, per entrambe le vulnerabilità ad esempio ASA 9.18.4.67, 9.20.4.10, 9.22.2.14 e 9.23.1.19 nonché FTD 7.2.10.2, 7.4.2.4, 7.6.2.1 e 7.7.10.1. Per verificare la propria versione è disponibile il Software Checker di Cisco.
• Prerequisito per l'attacco: un servizio web VPN raggiungibile da Internet – ovvero esattamente lo scopo di un portale VPN.
• Conseguenza: esecuzione di codice come root e quindi presa di controllo completa del firewall.

Lo stesso giorno Cisco ha pubblicato una terza vulnerabilità, CVE-2025-20363 (CVSS 9.0), che oltre ad ASA e FTD riguarda anche IOS, IOS XE e IOS XR. Al momento della pubblicazione non vi erano indicazioni di uno sfruttamento attivo.

Perché è urgente

Dietro gli attacchi non c'è un attaccante occasionale. Secondo quanto dichiarato, Cisco era già stata coinvolta da diverse autorità a maggio 2025 per indagare su attacchi contro dispositivi ASA della serie 5500-X. L'azienda attribuisce l'attività „con elevata confidenza“ allo stesso attore della campagna di spionaggio ArcaneDoor, di cui Cisco aveva riferito all'inizio del 2024. Gli attaccanti disattivavano il logging, intercettavano i comandi da riga di comando e provocavano deliberatamente il crash dei dispositivi per impedirne l'analisi.

Sono stati compromessi modelli più datati privi di Secure Boot (5512-X, 5515-X, 5525-X, 5545-X, 5555-X e 5585-X). Su questi gli attaccanti hanno modificato il ROM Monitor per sopravvivere a riavvii e aggiornamenti. L'NCSC britannico ha analizzato il malware impiegato: il bootkit RayInitiator e il loader LINE VIPER, in grado di eseguire comandi, intercettare il traffico di rete e sopprimere i messaggi syslog. LINE VIPER viene controllato, tra l'altro, tramite sessioni di login WebVPN – cioè attraverso lo stesso portale da cui è avvenuta l'intrusione. Sulle piattaforme più recenti con Secure Boot, Cisco non ha rilevato compromissioni riuscite.

La CISA ha reagito con insolita severità: le agenzie federali statunitensi hanno dovuto censire tutti i dispositivi ASA e Firepower, inviare entro il 26 settembre i dump di memoria per l'analisi forense, scollegare dalla rete entro il 30 settembre i dispositivi non più supportati dal produttore e aggiornare immediatamente quelli restanti. La superficie di attacco è ampia: a fine settembre, secondo Cybersecurity Dive, la Shadowserver Foundation contava quasi 50.000 dispositivi vulnerabili raggiungibili da Internet – la Germania era tra i cinque paesi con il maggior numero di rilevamenti.

Cosa fare ora

1. Censire i dispositivi. Verificate quali dispositivi ASA e FTD utilizzate, con quale versione software e se sono attivi servizi web VPN (SSL VPN o IKEv2 con Client Services).
2. Aggiornare. Installate la correzione indicata per il vostro ramo di release. Secondo Cisco, all'avvio l'aggiornamento verifica anche il ROM Monitor dei dispositivi interessati e rimuove il meccanismo di persistenza noto.
3. Sostituire l'hardware obsoleto. I modelli ASA 5500-X privi di Secure Boot sono a fine supporto o prossimi a esserlo. L'NCSC raccomanda di sostituirli ovunque possibile.
4. Disattivare temporaneamente se l'aggiornamento non è immediatamente possibile: Cisco indica come misura provvisoria la disattivazione di tutti i servizi web VPN basati su SSL/TLS. Ciò interrompe tuttavia l'accesso remoto tramite questi servizi.
5. Verificare eventuali compromissioni. Cisco e l'NCSC hanno pubblicato indicazioni e regole di rilevamento. In caso di sospetto, non spegnete il dispositivo ma scollegatelo dalla rete, considerate l'intera configurazione non attendibile e rinnovate tutte le password, i certificati e le chiavi – preferibilmente insieme al supporto Cisco.

Cosa significa per la protezione dei firewall

Il caso dimostra quanto dipenda da un singolo dispositivo. Il firewall deve proteggere la rete, ma il suo portale VPN deve essere raggiungibile da Internet – e diventa così esso stesso un bersaglio. In questo caso Cisco indagava sugli attacchi già da maggio, mentre le patch sono arrivate a settembre. E anche dopo la pubblicazione serve tempo prima che ogni dispositivo sia aggiornato.

NetProtector interviene per questo a monte. L'appliance opera in linea davanti al firewall e analizza il traffico prima che raggiunga il portale VPN:

• L'infrastruttura nota degli attaccanti viene bloccata. Le scansioni alla ricerca di portali VPN raggiungibili e i tentativi di attacco su larga scala provengono spesso da indirizzi che la rete di sensori NetProtector ha già osservato altrove. Tali sorgenti vengono bloccate prima ancora che possano contattare il vostro firewall.
• Le anomalie vengono rilevate. Il sondaggio sistematico di tipi di dispositivo e versioni, i tentativi di login brute force o le connessioni insolitamente frequenti al servizio VPN emergono nel flusso di dati – schemi che spesso precedono attacchi mirati.
• Guadagnare tempo fino all'aggiornamento. NetProtector non sostituisce la patch e non rileva ogni exploit mirato. Riduce però il numero di attaccanti che raggiungono il portale vulnerabile – proprio nella fase in cui una vulnerabilità è nota ma non ancora chiusa ovunque.

Come NetProtector rileva l'infrastruttura degli attaccanti e viene integrato tra router e firewall senza modifiche alla rete è illustrato nella pagina Come funziona NetProtector.

La nostra valutazione

Cisco ha collaborato per mesi con le autorità alle indagini e ha divulgato le vulnerabilità insieme a CISA e NCSC – questo è il modo corretto di gestire un caso del genere. La lezione va oltre un singolo produttore: i portali VPN sono un obiettivo redditizio, anche per attaccanti sostenuti da stati, e i dispositivi privi di meccanismi di protezione attuali come Secure Boot sono particolarmente difficili da difendere. La sicurezza dell'accesso remoto richiede quindi più livelli: aggiornamenti tempestivi, sostituzione dell'hardware per tempo, monitoraggio degli accessi – e un livello a monte che tenga lontani gli attaccanti noti prima che raggiungano il firewall.

Fonti

• Cisco Event Response: Continued Attacks Against Cisco Firewalls
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-z5xP8EUB (CVE-2025-20333)
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-YROOTUW (CVE-2025-20362)
• CISA: ED 25-03 – Identify and Mitigate Potential Compromise of Cisco Devices
• NCSC: Malware Analysis Report RayInitiator & LINE VIPER
• Cybersecurity Dive: Cisco firewall flaws endanger nearly 50,000 devices worldwide