Objet: [MàJ] Multiples vulnérabilités dans Cisco ASA et FTD

Résumé

[Mise à jour du 06 octobre 2025]

Le CERT-FR a connaissance de codes d'exploitation publics.

[Publication initiale]

Le 25 septembre 2025, Cisco a publié plusieurs avis de sécurité, un billet de blogue ainsi qu'un guide de détection concernant des vulnérabilités affectant le serveur VPN Web de Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD).

La vulnérabilité CVE-2025-20362 permet à un attaquant de contourner l'authentification pour accéder à des ressources protégées.
La vulnérabilité CVE-2025-20333 permet à un attaquant authentifié d'exécuter du code arbitraire à distance.

Exploitées conjointement, celles-ci permettent à un attaquant non authentifié de prendre la main sur une machine vulnérable.

Cisco indique que ces vulnérabilités sont activement exploitées.

Solutions

[Mise à jour du 26 septembre 2025]

Suite à plusieurs publications de la Cisa (dont [2]), le CERT-FR recommande d'effectuer les actions suivantes :

• lancer la commande show checkheaps toutes les minutes pendant cinq minutes et sauvegarder les résultats sur un système tiers. Un exemple de résultat est présenté dans [1] ;
  • la valeur située dans la ligne Totale number of runs doit s'incrémenter au cours du temps. Si aucune évolution n'est constatée, cela indique une potentielle compromission ;
• lancer la commande show tech-support detail et sauvegarder les résultats sur un système tiers ;
• lancer la commande more /binary system:/text | grep 55534154 41554156 41575756 488bb3a0 et sauvegarder les résultats sur un système tiers ;
  • si cette commande retourne des résultats, cela indique une potentielle compromission ;
• vérifier la quantité d'événements syslog 302013, 302014, 609002 et 71005 [1] et [2] car une diminution notable peut indiquer une potentielle compromission ;
• à ce stade, si une compromission potentielle est détectée, envisager de déconnecter l'équipement d'Internet et signaler immédiatement l’événement auprès du CERT-FR qui vous indiquera la marche à suivre ;
• si aucune compromission n'a été détectée jusque-là, effectuer la mise à jour de l'équipement si celle-ci est disponible ;
  • lors du processus de mise à jour, surveiller les messages affichés sur la console de l'équipement, conformément aux étapes présentées dans la section Bootloader and/or ROMMON Verification Failure de [1] ;
• à l'issue de la mise à jour, chercher sur l'équipement la présence d'un fichier nommé firmware_update.log ;
  • en cas de présence de ce fichier, récupérer son contenu et sauvegarder les résultats sur un système tiers, cela indique une potentielle compromission , envisager alors de déconnecter l'équipement d'Internet et signaler l’événement auprès du CERT-FR qui vous indiquera la marche à suivre ;
• effectuer une recherche de compromission et de latéralisation plus large, en utilisant les éléments suivants:
  • rechercher des connections VPN rapprochées avec des origines géographiques distantes [1] et [2] ;
  • rechercher les éléments présentés dans la section Step Two: Review Compromised Account Activityde [2] ;
  • rechercher des indicateurs de compromission en se basant sur les éléments présentés dans la section Rules and signatures de [3] ;
  • rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
    • en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
    • puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
  • si vous trouvez des traces de latéralisation, contactez le CERT-FR ;
• dans tous les cas, effectuer une rotation de l'ensemble des secrets et des éléments de configuration de l'équipement ainsi que de tous les secrets qui auraient pu transiter par cet équipement.

Si aucune mise à jour n'est disponible pour l'équipement, le CERT-FR recommande de le déconnecter d'Internet.

[Publication initiale]

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Dans l'attente de l'application des correctifs, Cisco recommande de désactiver les services VPN (IKEv2 et SSL VPN).

L'éditeur fournit également des renseignements pour tenter de détecter une compromission potentielle (cf. section Documentation).