Около 50 000 устройства Cisco Adaptive Security Appliance (ASA) и Firewall Threat Defense (FTD), достъпни в интернет, остават изложени на две сериозни уязвимости – CVE-2025-20333 и CVE-2025-20362. Те позволяват дистанционно изпълнение на произволен код и достъп до защитени URL адреси, свързани с VPN функционалности. И двете слабости могат да бъдат използвани без автентикация.
Cisco потвърди на 25 септември, че атаките вече са в ход още преди да бъдат пуснати официалните пачове.
Липса на алтернативни решения
Засега не съществуват обходни мерки, но временно могат да се приложат стъпки за повишаване на сигурността – ограничаване на публичния достъп до VPN уеб интерфейса и засилен мониторинг на подозрителни входове и HTTP заявки.
Глобално разпространение на уязвимите системи
По данни на Shadowserver Foundation от 29 септември, над 48 800 ASA и FTD инстанции все още не са актуализирани. Най-засегнати са САЩ (над 19 200 устройства), следвани от Великобритания (2800), Япония (2300), Германия (2200), Русия (2100), Канада (1500) и Дания (1200). Около 200 устройства има и в България.
Наблюдения на Greynoise сочат, че още в края на август са били засечени подозрителни сканирания на ASA устройства – често сигнал за предстоящи атаки с нови, непублични експлойти.
Глобална експозиция на непачнати устройства Cisco ASA/FTD
Източник: The Shadowserver Foundation
Спешни мерки от правителствените агенции
Опасността е толкова сериозна, че Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) издаде извънредна директива. Тя задължава всички федерални агенции в рамките на 24 часа да идентифицират компрометирани ASA/FTD устройства и да ги обновят или изключат от мрежата. Допълнително се препоръчва изваждане от експлоатация на устройства, които вече са достигнали края на поддръжката си.
Използвани зловредни инструменти
Доклад на Националния център за киберсигурност на Обединеното кралство (NCSC) посочва, че атакуващите използват комбинация от малуер – shellcode loader с име Line Viper и bootkit за GRUB, наречен RayInitiator.
Препоръки
Тъй като експлоатацията продължава повече от седмица, администраторите са призовани незабавно да приложат официалните указания на Cisco и да инсталират необходимите актуализации за CVE-2025-20333 и CVE-2025-20362.
