Mobile-Menu

DoS-Zustand möglich Präparierte VPN-Anfragen können Cisco-Firewalls zum Neustart zwingen

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
SEPPMAIL - Deutschland GmbH
FTAPI Software GmbH

Eine Schwachstelle im VPN-Zugang von Cisco-Firewalls ermöglicht es Cyberkriminellen, die Geräte zu einem unerwarteten Neustart zu bringen. Betroffen sind ASA und FTD mit aktiver zweiter Anmeldeprüfung. Cisco meldete bereits eine aktive Ausnutzung.

Ein Logikfehler in der zweiten Anmeldeprüfung erlaubt es Angreifern, Cisco-Firewalls mithilfe präparierter VPN-Anfrage ohne Login neu zu starten und den VPN-Zugang lahmzulegen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Ein Logikfehler in der zweiten Anmeldeprüfung erlaubt es Angreifern, Cisco-Firewalls mithilfe präparierter VPN-Anfrage ohne Login neu zu starten und den VPN-Zugang lahmzulegen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Angreifer können über das Netz eine Schwachstelle in der SSL-VPN-Funktion von Cisco Secure Firewall ASA und Secure Firewall Threat Defense (FTD) ausnutzen. Die Software steuert Firewalls, über die sich Beschäftigte von außen mit einem Unternehmensnetz verbinden. Für den Angriff sind weder Zugangsdaten noch eine Benutzeraktion nötig. Die Schwere Schwachstelle EUVD-2026-112462 / CVE-2026-76418 (CVSS-Score 8.6, EPSS-Score* 0,82) hat Cisco als hoch eingestuft. Nicht betroffen sind laut Cisco Cloud-Dienste wie Cloud-delivered Firewall, Secure Access und Secure FMC.

Fehler bei der zweiten Anmeldeprüfung

Die Ursache der Sicherheitslücke sind logische Fehler, wenn für ein sogenanntes Verbindungsprofil, im Cisco-Jargon eine Tunnelgruppe („tunnel group“), eine zweite Authentifizierung konfiguriert ist. Ein Angreifer kann laut Cisco eine präparierte Anfrage an den SSL-VPN-Zugang schicken, die das Gerät unerwartet neu starten lässt. Das führt zu einem Ausfall des Dienstes, einem Denial-of-Service-Zustand. Ein erfolgreicher Login ist dafür nicht nötig. Die Verwundbarkeit betrifft die Software der ASA und der FTD in mehreren Versionszweigen. Die Cisco-Angaben nennen Korrekturen für ASA ab

  • 9.16.4.104,
  • 9.18.4.96,
  • 9.20.4.50,
  • 9.22.3.200,
  • 9.23.1.48
  • und 9.24.1.27

sowie für FTD ab

  • 7.0.11,
  • 7.2.13,
  • 7.4.9,
  • 7.6.7,
  • 7.7.14,
  • 10.0.3
  • und 10.1.1.

Cisco fand die Schwachstelle nach eigenen Angaben über einen Supportfall im Technical Assistance Center. Dem Hersteller nach erfuhr das Product Security Incident Response Team im Oktober von einer aktiven Ausnutzung, das Advisory folgte am 28. Oktober. Die CISA nahm die Schwachstelle am 29. Oktober in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf. Darüber, wann die ersten Angriffe begannen, wie viele Geräte betroffen waren und wer dahintersteckt, gibt es keine Informationen.

Updates einspielen oder Mitigation nutzen

Cisco fordert seine Kunden auf, eine korrigierte Softwareversion zu installieren. Als Übergangsmaßnahme empfiehlt der Hersteller, die zweite Authentifizierung zu deaktivieren. Ist die Standardgruppe „DefaultWEBVPNGroup“ ohne zweite Authentifizierung konfiguriert, reicht es laut Cisco, die Verbindungsprofilliste mit dem Befehl „no tunnel-group-list enable“ abzuschalten. Nutzt diese Gruppe eine zweite Authentifizierung, müsse sie entfernt werden. Das senke allerdings das Sicherheitsniveau des Fernzugriffs. Betreiber sollten die Maßnahme deshalb vorab in ihrer Umgebung prüfen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:51013491)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte