SecBoard
Zurück zur CVE-Übersicht

CVE-2025-20362

MEDIUM(6.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Risk Signal Score72/100 — HOCH
  • CVSS 6.5 — Mittel
  • EPSS 87% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

87.1%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

6.5

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2025-20362 betrifft die VPN-Webserver von Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software. Sie ermöglicht einem nicht authentifizierten, entfernten Angreifer, auf eingeschränkte URL-Endpunkte zuzugreifen, die normalerweise eine Authentifizierung erfordern. Dies ist auf eine unsachgemäße Validierung von Benutzereingaben in HTTP(S)-Anfragen zurückzuführen und kann zu einem Denial-of-Service (DoS) führen, indem Geräte unerwartet neu starten.

Mit einem CVSS-Score von 6.5 (MEDIUM) und einer von 87% ist die Exploit-Wahrscheinlichkeit hoch. Besonders kritisch ist, dass diese Schwachstelle in der () Datenbank gelistet ist und aktiv ausgenutzt wird. Dies deutet auf eine unmittelbare Bedrohung hin, die über das reine Risiko einer mittelschweren Schwachstelle hinausgeht.

Security-Teams sollten umgehend die betroffenen Cisco ASA- und FTD-Software-Installationen auf die von Cisco bereitgestellten behobenen Versionen aktualisieren. Angesichts der aktiven Ausnutzung und der möglichen DoS-Auswirkungen ist eine schnelle Priorisierung und Implementierung des Patches dringend erforderlich, um die Verfügbarkeit der Systeme zu gewährleisten.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Update: On November 5, 2025, Cisco became aware of a new attack variant against devices running Cisco Secure ASA Software or Cisco Secure FTD Software releases that are affected by CVE-2025-20333 and CVE-2025-20362. This attack can cause unpatched devices to unexpectedly reload, leading to denial of service (DoS) conditions. Cisco strongly recommends that all customers upgrade to the fixed software releases that are listed in the Fixed Software ["#fs"] section of this advisory. A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to access restricted URL endpoints that are related to remote access VPN that should otherwise be inaccessible without authentication. This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker could exploit this vulnerability by sending crafted HTTP requests to a targeted web server on a device. A successful exploit could allow the attacker to access a restricted URL without authentication.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Am 5. November 2025 wurde Cisco auf eine neue Angriffsvariante aufmerksam, die Geräte betrifft, die von CVE-2025-20333 und CVE-2025-20362 betroffen sind. Dieser Angriff kann dazu führen, dass ungepatchte Geräte unerwartet neu geladen werden, was zu Denial-of-Service (DoS)-Bedingungen führt. Im Mai 2025 wurde Cisco von mehreren Regierungsbehörden beauftragt, Angriffe au

Threat-Hunting-Queries

Die Schwachstelle ermöglicht unauthentifizierten Zugriff auf eingeschränkte URL-Endpunkte des VPN-Webservers durch manipulierte HTTP(S)-Anfragen. Die Erkennung sollte sich auf ungewöhnliche Zugriffe auf VPN-bezogene URLs ohne vorherige Authentifizierung oder auf unerwartete Neustarts/Abstürze der Cisco ASA/FTD-Geräte konzentrieren.

Sentinel/Defender KQL

CiscoASAEvent
| where EventID == "419001" or EventID == "419002" // VPN web server access events
| where not (AuthenticationStatus == "Success") // Look for unauthenticated access attempts
| where UrlPath contains "/vpn/" or UrlPath contains "/remote/" // Specific to VPN web server paths
| summarize count() by DstIpAddr, SrcIpAddr, UrlPath, HttpMethod
| where count_ > 5 // Adjust threshold as needed for anomalous activity
| project DstIpAddr, SrcIpAddr, UrlPath, HttpMethod, count_

Splunk SPL

index=cisco_asa (event_id="419001" OR event_id="419002") NOT authentication_status="Success" (url_path="/vpn/*" OR url_path="/remote/*")
| stats count by dest_ip, src_ip, url_path, http_method
| where count > 5

Sigma

title: Cisco ASA FTD VPN Web Server Unauthorized Access Attempt
status: experimental
description: Detects potential unauthorized access attempts to Cisco ASA/FTD VPN web server restricted URL endpoints.
references:
  - https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
logsource:
  product: cisco
  service: asa
detection:
  selection:
    EventID: 
      - '419001'
      - '419002'
    AuthenticationStatus: 'Failed'
    UrlPath|contains:
      - '/vpn/'
      - '/remote/'
  condition: selection
fields:
  - DstIpAddr
  - SrcIpAddr
  - UrlPath
  - HttpMethod
level: medium

Elastic ES|QL

from cisco.asa.event
| where event.id in ('419001', '419002')
| where not authentication.status == 'Success'
| where url.path : ('/vpn/*', '/remote/*')
| stats count() by destination.ip, source.ip, url.path, http.request.method
| where count() > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*

Referenzen