Cisco ASA și FTD: DoS exploatat în VPN SSL, doar hot fix

ColCERT, CSIRT-ul național al Columbiei, a emis alerta COLCERT AL-20260819-113 privind vulnerabilitatea CVE-2026-20349, care afectează serviciul Remote Access SSL VPN din Cisco Secure Firewall ASA și Secure Firewall Threat Defense (FTD). Potrivit alertei, Cisco a confirmat exploatarea activă, iar CISA a inclus vulnerabilitatea în catalogul Known Exploited Vulnerabilities (KEV) chiar în ziua publicării.

Acest articol se bazează pe o singură sursă, alerta ColCERT, care la rândul ei preia buletinul Cisco și alerta AL26-018 a Canadian Centre for Cyber Security: în continuare, fiecare informație este atribuită agenției columbiene.

Ce se întâmplă

Potrivit ColCERT, un atacator de la distanță și neautentificat poate trimite o singură cerere HTTP manipulată către portalul VPN și poate provoca repornirea neașteptată a firewallului, fără nicio interacțiune din partea utilizatorului. Atacul poate fi repetat oricând, așa că poate ține echipamentul scos din funcțiune pentru mult timp.

ColCERT subliniază efectul în cascadă: când cade firewallul de perimetru, se opresc în același timp controlul accesului la rețea și munca de la distanță pentru întreaga organizație. Cisco Secure Firewall Management Center (FMC) nu este afectat.

Detalii tehnice

• CVE: CVE-2026-20349; buletinul Cisco cisco-sa-asaftd-vpn-dos-dzv4mQFF.
• Scor CVSS: 8.6 (ridicat). Vectorul indică impact nul asupra confidențialității și integrității (C:N, I:N), impact ridicat asupra disponibilității (A:H) și domeniu modificat (S:C).
• Slăbiciune: CWE-244, Improper Clearing of Heap Memory Before Release („heap inspection”).
• Condiții: un echipament este vulnerabil doar dacă rulează o versiune afectată și are activă cel puțin o funcție care deschide socketuri SSL în ascultare. Alerta arată că riscul este maxim când portalul VPN este accesibil din Internet, adică în configurația obișnuită pentru accesul de la distanță. Lista exactă a versiunilor și funcțiilor se află în buletinul Cisco.

În privința gravității, ColCERT face două precizări. Prima: potrivit Cisco, nu este o execuție de cod de la distanță, nu există expunere de date și nici dovezi că atacatorul poate prelua controlul administrativ al echipamentului. A doua: slăbiciunea atribuită, conform definiției MITRE, privește expunerea de informații în memoria heap, iar defectul de fond este o problemă de gestionare a heapului, accesibilă fără autentificare prin motorul HTTP al portalului VPN. Deoarece în trecut defecte de acest tip în această componentă au fost duse spre scenarii mai grave, ColCERT recomandă tratarea ei cu aceeași urgență ca o RCE pe un dispozitiv de perimetru. Este o evaluare prudentă a agenției, nu un fapt comunicat de Cisco.

În termeni MITRE ATT&CK, exploatarea descrisă se încadrează în T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Fără workaround: doar hot fix

Potrivit alertei, Cisco a confirmat că nu există workarounduri și nici configurații care să compenseze riscul. Corecția este distribuită doar ca hot fix prin Software Center: nu face parte dintr-o versiune obișnuită de disponibilitate generală, deci actualizarea de rutină în cadrul aceleiași ramuri software nu este suficientă.

ColCERT semnalează câteva detalii practice:

• hot fixurile pentru ASA 9.16 și 9.18 au un număr de versiune care începe cu 89 (nu este o greșeală de tipar);
• împreună cu aceste hot fixuri trebuie instalat și ASDM 7.24.1.374: versiunile anterioare nu recunosc numerotarea și se pierde accesul la consola de administrare;
• pentru FTD, fiecare ramură are variante specifice pe platformă (SSP, FP1K, FP2K, FP3K, Secure Firewall 1200/4200/6100): instalează varianta exactă pentru hardware-ul tău, niciodată pachete generice.

Ca măsuri temporare, alerta menționează restricționarea portalului VPN cu ACL-uri pe adresele sursă, care reduce suprafața de atac, dar nu protejează împotriva celor care reușesc totuși să ajungă la serviciu, și dezactivarea VPN-ului, care elimină expunerea, dar oprește munca de la distanță. Pentru ColCERT, aceasta din urmă este o decizie de continuitate a activității, care trebuie escaladată la conducere și documentată.

Impactul pentru companiile europene și italiene

Alerta este columbiană, dar vulnerabilitatea îi privește pe toți cei care folosesc ASA sau FTD ca firewall de perimetru sau concentrator VPN, în Europa ca și în alte părți. Așa cum descrie ColCERT, un atac repetat poate lăsa o companie fără acces de la distanță și cu perimetrul scos din funcțiune, iar pentru asta nu sunt necesare credențiale.

Pentru entitățile care intră sub incidența NIS2, cazul privește gestionarea vulnerabilităților exploatate, cu priorități și termene documentate, și continuitatea operațională. O întrerupere semnificativă cauzată de un atac trebuie evaluată în vederea notificării către CSIRT-ul național (în România, DNSC; în Italia, CSIRT Italia din cadrul ACN). În sănătate, unde VPN-ul conectează adesea medici, furnizori și sedii externe, un firewall care repornește continuu înseamnă servicii clinice inaccesibile.

Ce trebuie făcut imediat

1. Fă inventarul tuturor echipamentelor ASA și FTD, marcându-le pe cele cu portalul SSL VPN expus în Internet (ColCERT indică primele 24 de ore).
2. Verifică versiunea și funcțiile active. Comenzile sugerate de alertă: show version | include Version, show running-config webvpn, show running-config crypto ikev2, show running-config zero-trust (doar FTD) și show asp table socket | include SSL. Confirmă rezultatul cu Cisco Software Checker.
3. Instalează hot fixul potrivit pentru versiune și platformă, începând cu echipamentele expuse în Internet; ColCERT stabilește un termen de cel mult 72 de ore. Ține cont de timpul de repornire în fereastra de mentenanță.
4. Caută semne de exploatare. Cisco nu a publicat indicatori de compromitere atomici (hashuri, IP-uri, domenii), deci căutarea se face după comportament: reporniri fără modificări de configurație sau căderi de tensiune, reporniri repetate pe același echipament, căderi simultane ale multor sesiuni VPN în syslog, vârfuri de cereri HTTP anormale către portul 443 al interfeței externe din puține surse. ColCERT sugerează verificarea jurnalelor din ultimele 30 de zile.
5. Păstrează fișierul crashinfo înainte de orice repornire manuală sau actualizare: potrivit ColCERT, este singura dovadă criminalistică a evenimentului și este suprascris.
6. Dacă folosești Snort sau FirePOWER, verifică dacă regulile 46897 și 59654 sunt active: sunt un control parțial și nu înlocuiesc hot fixul.
7. Dacă găsești urme de exploatare, tratează evenimentul ca pe un incident de securitate, nu ca pe o simplă vulnerabilitate.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta în Internet și care dintre ele au vulnerabilități cunoscute, ca să știi dacă un portal VPN este accesibil din exterior. ARX Sentry colectează jurnalele firewallurilor într-un colector central, iar harta NOC evidențiază erorile VPN: repornirile și căderile bruște ale sesiunilor devin mai ușor de observat și de reconstituit.

Ultima actualizare: 9 octombrie 2026