Cisco ASA und FTD akut gefährdet Angreifer provozieren Neustarts ungepatchter Cisco-Firewalls

Anbieter zum Thema

Cisco Systems GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Cisco beobachtet eine neue Angriffsvariante mithilfe der bereits bekannten Schwachstellen CVE-2025-20333 und CVE-2025-20362. Dabei laden unge­patchte ASA- und FTD-Systeme unerwartet neu. Dadurch droht ein Denial-of-Service. Allein in Deutschland sind weit über tausend Geräte betroffen.

Cisco meldet seit dem 5. November eine neue Angriffsvariante gegen die VPN-Komponente von Cisco „Secure Firewall ASA“ und „Secure Firewall Threat Defense“ (FTD). Ziel sind die bereits bekannten Schwachstellen CVE-2025-20333 und CVE-2025-20362. Auf nicht aktualisierten Systemen führen die Attacken zu unerwarteten Reboots. Diese wiederum führen zu Denial of Service (DoS) und damit zu Ausfällen im Remote-Zugriff über das Virtual Private Network (VPN).

Seitdem weist Shadowserver weltweit viele Tausend verwundbare Cisco-Firewalls aus. Dabei führen die USA mit knapp 13.500 exponierten Systemen. In Deutschland sind rund 1.180 ASA- und FTD-Geräte weiterhin angreifbar. Die gemeldeten Zahlen unterstreichen, dass ein erheblicher Teil der seit Ende September identifizierten Angriffsfläche noch offen bleibt.

Warnung der CISA

Zwei Zero-Days bei Cisco erlauben Manipulation von HTTP(S)-Anfragen

Rückblick: laufende Angriffe und politische Dimension

Bereits Ende September rückten Risiken für die Cisco-Produkte Secure Firewall ASA und Firepower Threat Defense in den Fokus: Die Cybersecurity and Infrastructure Security Agency (CISA) warnte am 25. September vor zwei aktiv ausgenutzten Zero-Day-Schwachstellen in den Webservices, die auf eine unzureichende Validierung von HTTP- und HTTPS-Anfragen zurückgehen.

Und am 24. Oktober adressierte US-Senator Bill Cassidy das Thema politisch und forderte von Cisco-CEO Chuck Robbins Aufklärung zu Auswirkungen und Gegenmaßnahmen. Am 5. November folgte die technische Zuspitzung: Cisco aktualisierte seine Sicherheitswarnung und meldete eine neue Angriffsvariante gegen CVE-2025-20333 und CVE-2025-20362, die ungepatchte Geräte zu unerwarteten Reloads veranlasst und einen Denial of Service auslöst.

Seitdem bleibt die Angriffsfläche nach wie vor groß: In forensischen Analysen zeigen sich auf älteren „ASA-5500-X“-Modellen ohne Secure-Boot- und Trust-Anchor-Unterstützung Persistenzspuren über ROMMON-Modifikationen, also Veränderungen am Bootloader. Cisco begrenzt das Risiko auf Geräte ohne diese Hardware-Sicherheitsfunktionen. Für neuere Plattformen mit Secure Boot liegen keine Hinweise auf erfolgreiche Persistenz vor.

Angriffe auf Cisco-Systeme laufen

US-Senator nimmt Cisco in die Mangel

Die CVE-IDs im Überblick

IOS XE Wireless Controller

Cisco behebt maximal kritische Sicherheitslücke

Cisco verweist auf aktualisierte Detection-Guides und Snort-Signaturen für die betroffenen Produkte. Für CVE-2025-20333 steht die Signatur 65340 und für CVE-2025-20362 die Signatur 46897 bereit. Betreiber sollten Log-Manipulation und unerwartete Reloads als TTP-Hinweise (Tactics, Techniques, and Procedures) einordnen. Doch die Erkennung scheint kompliziert, denn in einer laufenden Kampagne tauchten auch Techniken auf, die Diagnose und Post-Incident-Analyse erschweren.

Welche Maßnahmen empfiehlt Cisco konkret?

Cisco rät zu einem schnellen Update auf die erste fehlerbereinigte Version der ASA- und FTD-Release-Trains, also der jeweiligen Hauptzweige. Ist ein Update kurzfristig nicht machbar, kann das Risiko laut Cisco durch das Abschalten aller SSL-VPN-Dienste und Deaktivieren der „IKEv2-Client-Services“ gesenkt werden. Die Folge: kein Remote-Access-VPN über SSL und keine Client-Software- oder Profil-Updates mehr via IKEv2. Zudem sollten Kunden bei Verdacht auf eine Kompromittierung nach dem Update einen Werksreset einplanen, die Konfiguration neu aufsetzen und alle lokalen Geheimnisse, Zertifikate und Schlüssel ersetzen.

Patch für Unified CM verfügbar

Cisco wird fest kodierte Admin-Zugangsdaten nicht mehr los

Release-Stände im Überblick

Für ASA nennt Cisco unter anderem als erste bereinigte Releases:

• 9.16.4.85 (gesamter Fix-Stand für 9.16)

• 9.18.4.67

• 9.20.4.10

• 9.22.2.14

• 9.23.1.19

Für FTD stehen unter anderem folgende Releases bereit:

• 7.0.8.1

• 7.2.10.2

• 7.4.2.4

• 7.6.2.1

• 7.7.10.1

Unternehmen, deren Systeme auf einem nicht mehr unterstützten Release-Train laufen, sollten auf einen aktuell unterstützten Hauptzweig wechseln. Denn nur dort erhalten sie Sicherheits- und Bugfixes. Ist die Hardware abgekündigt, empfiehlt Cisco einen Plattformwechsel auf ein weiterhin unterstütztes Modell mit laufenden Sicherheitsupdates.

Die aktualisierte Neustart-Angriffsvariante verschiebt die Risikogewichtung von reiner Codeausführung hin zu Verfügbarkeitsangriffen auf ungepatchte VPN-Endpunkten. Für Umgebungen mit Remote-Access-Abhängigkeiten steigt damit das Ausfallrisiko. Priorität sollte das Schließen von CVE-2025-20333 und CVE-2025-20362 auf allen erreichbaren ASA- und FTD-Instanzen haben. Bestehende Segmente mit älteren ASA-5500-X ohne Secure Boot benötigen zusätzlich einen Plan zur Hardware-Ablösung, um Persistenzpfade nachhaltig zu unterbinden.

Große Studie von Cisco

Es gibt weniger Cyberangriffe, doch diese verursachen mehr Schaden

(ID:50621114)