CVE-2025-20333 — Vulnérabilité de dépassement de tampon dans Cisco Secure Firewall Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD)

Résumé

[Mise à jour du 07 novembre 2025] Le 5 novembre 2025, Cisco a mis a jour son billet de blogue initialement publié le 25 septembre 2025 (cf. section Documentation). L'éditeur déclare avoir connaissance d'une nouvelle attaque, affectant les équipements ASA et FTD vulnérables, qui cause un déni de service à distance. [Mise à jour du 06 octobre 2025] Le CERT-FR a connaissance de codes d'exploitation publics. [Publication initiale] Le 25 septembre 2025, Cisco a publié plusieurs avis de sécurité, un billet de blogue ainsi qu'un guide de détection concernant des vulnérabilités affectant le serveur VPN Web de Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD). La vulnérabilité CVE-2025-20362 permet à un attaquant de contourner l'authentification pour accéder à des ressources protégées. La vulnérabilité CVE-2025-20333 permet à un attaquant authentifié d'exécuter du code arbitraire à distance. Exploité

Recommandation

[Mise à jour du 26 septembre 2025] Suite à plusieurs publications de la Cisa (dont [2]), le CERT-FR recommande d'effectuer les actions suivantes : - lancer la commande `show checkheaps` toutes les minutes pendant cinq minutes et sauvegarder les résultats sur un système tiers. Un exemple de résultat est présenté dans [1] ; * la valeur située dans la ligne `Totale number of runs` doit s'incrémenter au cours du temps. Si aucune évolution n'est constatée, cela indique une potentielle compromission ; - lancer la commande `show tech-support detail` et sauvegarder les résultats sur un système tiers ; - lancer la commande `more /binary system:/text | grep 55534154 41554156 41575756 488bb3a0` et sauvegarder les résultats sur un système tiers ; * si cette commande retourne des résultats, cela indique une potentielle compromission ; - vérifier la quantité d'événements syslog 302013, 302014, 609002 et 71005 [1] et [2] car une diminution notable peut indiquer une potentielle compromission ; - à ce stade, si une compromission potentielle est détectée, envisager de déconnecter l'équipement d'Internet et [signaler immédiatement l’événement auprès du CERT-FR](/contact/) qui vous indiquera la marche à suivre ; - si aucune compromission n'a été détectée jusque-là, effectuer la mise à jour de l'équipement si celle-ci est disponible ; * lors du processus de mise à jour, surveiller les messages affichés sur la console de l'équipement, conformément aux étapes présentées dans la section `Bootloader and/or ROMMON Verification Failure` de [1] ; - à l'issue de la mise à jour, chercher sur l'équipement la présence d'un fichier nommé `firmware_update.log` ; * en cas de présence de ce fichier, récupérer son contenu et sauvegarder les résultats sur un système tiers, cela indique une potentielle compromission , envisager alors de déconnecter l'équipement d'Internet et [signaler l’événement auprès du CERT-FR](/contact/

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Cisco. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et un contournement de la politique de sécurité. Cisco indique que les vulnérabilités CVE-2025-20333 et CVE-2025-20362 sont activement exploitées.

Recommandation

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).