Cisco: zero-days no portal VPN abrem as firewalls ASA a atacantes

O portal VPN de uma firewall deve deixar entrar apenas utilizadores autorizados. Na Secure Firewall ASA e no Firepower Threat Defense (FTD) da Cisco, foi possível contorná-lo através de duas vulnerabilidades zero-day: a CVE-2025-20362 abre áreas protegidas do servidor web VPN sem autenticação e a CVE-2025-20333 permite aí a execução de código malicioso com privilégios de root. Encadeadas, segundo a Cisco, dão a um atacante sem credenciais o controlo total do dispositivo. A Cisco divulgou as vulnerabilidades a 25 de setembro de 2025 e, no mesmo dia, a agência norte-americana CISA emitiu a diretiva de emergência ED 25-03. Não existe workaround – apenas a atualização ou a desativação dos serviços web VPN.

Do que se trata

O servidor web VPN é a parte da firewall através da qual os colaboradores se autenticam a partir do exterior com o AnyConnect ou o Secure Client. A primeira vulnerabilidade, CVE-2025-20362, é uma falta de verificação de autorização: pedidos HTTPS manipulados alcançam endpoints de URL que, em princípio, só deveriam estar acessíveis após a autenticação. A segunda, CVE-2025-20333, é um buffer overflow que normalmente exige credenciais VPN válidas. É precisamente este obstáculo que a primeira vulnerabilidade elimina.

Os dados essenciais, segundo os advisories da Cisco de 25 de setembro de 2025:

• Gravidade: CVE-2025-20333 com CVSS 9.9 („Critical“), CVE-2025-20362 com CVSS 6.5 („Medium“). O valor médio é enganador: só a combinação torna possível o ataque sem autenticação.
• Afetados: software ASA e FTD com serviços web VPN ativos – SSL-VPN (webvpn), acesso remoto AnyConnect IKEv2 com Client Services e, no caso do ASA, também Mobile User Security.
• Corrigido em: consoante o ramo de release, para ambas as vulnerabilidades, por exemplo, ASA 9.18.4.67, 9.20.4.10, 9.22.2.14 e 9.23.1.19, bem como FTD 7.2.10.2, 7.4.2.4, 7.6.2.1 e 7.7.10.1. O Software Checker da Cisco indica a situação da sua versão.
• Pré-requisito para o ataque: um serviço web VPN acessível a partir da Internet – ou seja, exatamente aquilo para que serve um portal VPN.
• Consequência: execução de código como root e, com isso, o controlo total da firewall.

No mesmo dia, a Cisco divulgou uma terceira vulnerabilidade, CVE-2025-20363 (CVSS 9.0), que, além do ASA e do FTD, afeta também o IOS, o IOS XE e o IOS XR. No momento da divulgação, não havia indícios da sua exploração.

Porque é urgente

Por detrás dos ataques não está um atacante oportunista. Segundo a própria Cisco, a empresa foi chamada por várias autoridades já em maio de 2025 para investigar ataques a dispositivos ASA da série 5500-X. A empresa atribui a atividade, „com elevado grau de confiança“, ao mesmo ator da campanha de espionagem ArcaneDoor, sobre a qual a Cisco tinha informado no início de 2024. Os atacantes desativaram o logging, intercetaram comandos da linha de comandos e provocaram deliberadamente falhas nos dispositivos para impedir a sua análise.

Foram comprometidos modelos mais antigos sem Secure Boot (5512-X, 5515-X, 5525-X, 5545-X, 5555-X e 5585-X). Nestes, os atacantes alteraram o ROM Monitor para sobreviver a reinícios e atualizações. O NCSC britânico analisou o malware utilizado: o bootkit RayInitiator e o loader LINE VIPER, capaz de executar comandos, capturar tráfego de rede e suprimir mensagens de syslog. O LINE VIPER é controlado, entre outros meios, através de sessões de autenticação WebVPN – ou seja, através do mesmo portal pelo qual ocorreu a intrusão. Em plataformas mais recentes com Secure Boot, a Cisco não detetou nenhum comprometimento bem-sucedido.

A CISA reagiu com uma firmeza invulgar: as agências federais dos EUA tiveram de inventariar todos os dispositivos ASA e Firepower, submeter até 26 de setembro imagens de memória para análise forense, desligar da rede até 30 de setembro os dispositivos sem suporte do fabricante e atualizar de imediato os restantes. A superfície de ataque é vasta: no final de setembro, segundo a Cybersecurity Dive, a Shadowserver Foundation contabilizou quase 50.000 dispositivos vulneráveis acessíveis a partir da Internet – a Alemanha estava entre os cinco países com mais ocorrências.

O que deve fazer agora

1. Inventariar. Determine que dispositivos ASA e FTD opera, com que versão de software e se os serviços web VPN (SSL-VPN ou IKEv2 com Client Services) estão ativos.
2. Atualizar. Instale a correção indicada para o seu ramo de release. Segundo a Cisco, a atualização verifica também, no arranque, o ROM Monitor dos dispositivos afetados e remove o mecanismo de persistência conhecido.
3. Substituir hardware antigo. Os modelos ASA 5500-X sem Secure Boot estão no fim do seu suporte ou perto dele. O NCSC recomenda substituí-los sempre que possível.
4. Desativar temporariamente, caso a atualização não seja possível de imediato: a Cisco indica a desativação de todos os serviços web VPN baseados em SSL/TLS como medida provisória. No entanto, isso interrompe o acesso remoto através destes serviços.
5. Verificar se houve comprometimento. A Cisco e o NCSC publicaram indicações e regras de deteção. Em caso de suspeita, não desligue o dispositivo, mas sim desconecte-o da rede, trate toda a configuração como não fiável e renove todas as palavras-passe, certificados e chaves – de preferência em conjunto com o suporte da Cisco.

O que isto significa para a proteção de firewalls

O caso mostra quanto depende de um único dispositivo. A firewall deve proteger a rede, mas o seu portal VPN tem de estar acessível a partir da Internet – e torna-se assim, ele próprio, um alvo de ataque. Neste caso, a Cisco já investigava os ataques desde maio e as correções chegaram em setembro. E, mesmo após a divulgação, é preciso tempo até que todos os dispositivos estejam atualizados.

Por isso, o NetProtector atua antes. O appliance funciona em linha antes da firewall e analisa o tráfego antes de este chegar ao portal VPN:

• A infraestrutura conhecida de atacantes é bloqueada. Scans à procura de portais VPN acessíveis e tentativas de ataque em larga escala provêm frequentemente de endereços que a rede de sensores do NetProtector já observou noutros locais. Essas origens são bloqueadas antes sequer de contactarem a sua firewall.
• As anomalias são detetadas. A sondagem sistemática de tipos de dispositivos e versões, tentativas de autenticação por brute force ou ligações invulgarmente frequentes ao serviço VPN destacam-se no fluxo de dados – padrões que frequentemente precedem ataques direcionados.
• Ganhar tempo até à atualização. O NetProtector não substitui a correção nem deteta todos os exploits direcionados. Mas reduz o número de atacantes que chegam sequer ao portal vulnerável – precisamente na fase em que uma vulnerabilidade é conhecida, mas ainda não foi corrigida em todo o lado.

Mostramos na página Como funciona o NetProtector como o NetProtector deteta infraestruturas de atacantes e como é integrado entre o router e a firewall sem alterações à rede.

A nossa avaliação

A Cisco trabalhou durante meses com as autoridades na investigação e divulgou as vulnerabilidades em conjunto com a CISA e o NCSC – é a forma correta de lidar com um caso destes. A lição vai além de um único fabricante: os portais VPN são um alvo apetecível, também para atacantes apoiados por Estados, e os dispositivos sem mecanismos de proteção atuais, como o Secure Boot, são particularmente difíceis de defender. Por isso, a segurança do acesso remoto exige várias camadas: atualizações rápidas, hardware substituído atempadamente, autenticações monitorizadas – e uma camada a montante que mantenha os atacantes conhecidos afastados antes de chegarem à firewall.

Fontes

• Cisco Event Response: Continued Attacks Against Cisco Firewalls
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-z5xP8EUB (CVE-2025-20333)
• Cisco Security Advisory: cisco-sa-asaftd-webvpn-YROOTUW (CVE-2025-20362)
• CISA: ED 25-03 – Identify and Mitigate Potential Compromise of Cisco Devices
• NCSC: Malware Analysis Report RayInitiator & LINE VIPER
• Cybersecurity Dive: Cisco firewall flaws endanger nearly 50,000 devices worldwide