48+ Cisco Firewalls ευάλωτα σε ενεργή ευπάθεια zero-day

Μια κρίσιμη ευπάθεια zero-day που επηρεάζει χιλιάδες firewalls της Cisco εκμεταλλεύεται ενεργά από κακόβουλους παράγοντες στο διαδίκτυο.

Η ευπάθεια, με κωδική ονομασία CVE-2025-20333, αποτελεί άμεσο κίνδυνο για οργανισμούς παγκοσμίως, με βαθμολογία CVSS 9.9, αντιπροσωπεύοντας μία από τις πιο σοβαρές αδυναμίες ασφαλείας που έχουν ανακαλυφθεί στην υποδομή firewall επιχειρήσεων φέτος.

Δείτε επίσης: CISA: Απαιτεί την επιδιόρθωση zero-day ευπαθειών Cisco

Σύμφωνα με δεδομένα από το The Shadowserver Foundation, πάνω από 48.800 μη ενημερωμένες διευθύνσεις IP εντοπίστηκαν στις 29 Σεπτεμβρίου 2025, με τις Ηνωμένες Πολιτείες να έχουν τη μεγαλύτερη έκθεση. Η ευπάθεια επηρεάζει το Ciscο Secure Firewall Adaptive Security Appliance (ASA) Software και το Cisco Secure Firewall Threat Defense (FTD) Software, στοχεύοντας ειδικά το στοιχείο του VPN web server που εκατομμύρια οργανισμοί βασίζονται για δυνατότητες απομακρυσμένης πρόσβασης.

Η ευπάθεια προκύπτει από την ακατάλληλη επικύρωση των δεδομένων που παρέχονται από τον χρήστη σε αιτήματα HTTP(S) που επεξεργάζεται ο VPN web server. Κατηγοριοποιημένο ως CWE-120 buffer overflow, το zero-day επιτρέπει σε απομακρυσμένους επιτιθέμενους με έγκυρα διαπιστευτήρια να εκτελούν αυθαίρετο κώδικα με δικαιώματα root στις επηρεαζόμενες συσκευές. Αυτό το επίπεδο πρόσβασης ουσιαστικά παρέχει πλήρη έλεγχο του firewall, επιτρέποντας στους επιτιθέμενους να τροποποιούν πολιτικές ασφαλείας, να υποκλέπτουν κίνηση δικτύου και να εγκαθιστούν μόνιμα backdoors.

Ο φορέας επίθεσης απαιτεί έγκυρα διαπιστευτήρια χρήστη VPN, τα οποία οι επιτιθέμενοι μπορούν να αποκτήσουν μέσω διαφόρων μεθόδων, όπως credential stuffing, phishing campaigns ή εκμετάλλευση αδύναμων μηχανισμών αυθεντικοποίησης. Μόλις επιβεβαιωθούν, οι επιτιθέμενοι μπορούν να στείλουν ειδικά διαμορφωμένα αιτήματα HTTP που περιέχουν κακόβουλα φορτία που υπερχειλίζουν τις μνήμες buffer, επιτρέποντας την εκτέλεση shellcode στο πλαίσιο του χρήστη root.

Δείτε ακόμα: Νέα zero-day ευπάθεια σε λογισμικό firewall της Cisco

Η Ομάδα Αντιμετώπισης Συμβάντων Ασφάλειας Προϊόντων της Cisco (PSIRT) έχει επιβεβαιώσει προσπάθειες ενεργής εκμετάλλευσης και προειδοποιεί ότι επιτυχημένες επιθέσεις θα μπορούσαν να οδηγήσουν σε πλήρη παραβίαση της συσκευής. Η ευπάθεια επηρεάζει συσκευές που εκτελούν ευάλωτες εκδόσεις του λογισμικού ASA ή FTD με συγκεκριμένες διαμορφώσεις ενεργοποιημένες, όπως AnyConnect IKEv2 Remote Access, Mobile User Security (MUS) και υπηρεσίες SSL VPN.

Οι επηρεαζόμενες διαμορφώσεις περιλαμβάνουν κρίσιμες επιχειρησιακές λειτουργίες που οι οργανισμοί εξαρτώνται για ασφαλή απομακρυσμένη πρόσβαση. Η σοβαρότητα της ευπάθειας επιδεινώνεται από το γεγονός ότι η Cisco έχει επιβεβαιώσει ότι δεν υπάρχουν παρακάμψεις για την άμβλυνση του κινδύνου χωρίς την εφαρμογή ενημερώσεων ασφαλείας. Μια δευτερεύουσα ευπάθεια, η CVE-2025-20362 (CVSS 6.5), συνοδεύει την κύρια αδυναμία και επιτρέπει σε μη αυθεντικοποιημένους επιτιθέμενους να έχουν πρόσβαση σε περιορισμένα σημεία VPN που θα έπρεπε να απαιτούν αυθεντικοποίηση.

Αυτή η ευπάθεια μη εξουσιοδοτημένης πρόσβασης, κατηγοριοποιημένη ως CWE-862 (Missing Authorization), μπορεί να λειτουργήσει ως εργαλείο αναγνώρισης για επιτιθέμενους που σχεδιάζουν πιο εξελιγμένες επιθέσεις. Η Cisco έχει κυκλοφορήσει επείγουσες ενημερώσεις ασφαλείας που αντιμετωπίζουν και τις δύο ευπάθειες και συνιστά έντονα την άμεση εγκατάστασή τους.

Δείτε επίσης: Η Cisco διορθώνει ευπάθειες στους Nexus Switches

Οι οργανισμοί θα πρέπει να δώσουν προτεραιότητα σε αυτές τις ενημερώσεις δεδομένης της ενεργής εκμετάλλευσης και της κρίσιμης φύσης των επηρεαζόμενων συστημάτων. Η εταιρεία επίσης συμβουλεύει την αναθεώρηση των διαμορφώσεων ανίχνευσης απειλών για υπηρεσίες VPN για την ενίσχυση της προστασίας έναντι επιθέσεων αυθεντικοποίησης και μη εξουσιοδοτημένων προσπαθειών σύνδεσης.