Cisco ha emitido una alerta sobre dos nuevos fallos de seguridad que afectan a sus dispositivos de firewall, específicamente al servidor web VPN del Cisco Secure Firewall Adaptive Security Appliance (ASA) y el Cisco Secure Firewall Threat Defense (FTD). Estas vulnerabilidades, denominadas Zero-Day, están siendo explotadas en una campaña generalizada. La empresa ha confirmado que tiene conocimiento sobre intentos de explotación, aunque no ha revelado quién podría estar detrás ni la extensión exacta de los ataques.
Vulnerabilidades identificadas
Las vulnerabilidades Zero-Day en cuestión se detallan a continuación:
- CVE-2025-20333: Una vulnerabilidad de validación incorrecta de la entrada proporcionada por el usuario en solicitudes HTTP(S) podría permitir que un atacante remoto autenticado con credenciales de usuario VPN válidas ejecute código arbitrario como root en un dispositivo afectado mediante el envío de solicitudes HTTP manipuladas. (CVSS: 9,9)
- CVE-2025-20362: Una vulnerabilidad de validación incorrecta de la entrada proporcionada por el usuario en solicitudes HTTP(S) podría permitir que un atacante remoto no autenticado acceda a puntos finales de URL restringidos sin autenticación mediante el envío de solicitudes HTTP manipuladas. (CVSS: 6,5)
Estas vulnerabilidades se han añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) por la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA). La campaña incluye la explotación de estas vulnerabilidades para obtener la ejecución remota de código no autenticado en ASAs, así como la manipulación de la memoria de solo lectura (ROM) para que persista tras el reinicio y la actualización del sistema.
Actividad de amenazas
CISA ha señalado que la actividad está vinculada a un clúster de amenazas denominado ArcaneDoor, previamente identificado como objetivo de dispositivos de red perimetral de varios proveedores, incluido Cisco. La actividad se atribuye a un actor de amenazas denominado UAT4356 (también conocido como Storm-1849). Este actor ha demostrado su capacidad para modificar con éxito la ROM de ASA al menos desde 2024.
Las vulnerabilidades también están presentes en versiones específicas de Cisco Firepower. El arranque seguro de los dispositivos Firepower detectaría la manipulación identificada de la ROM.
Explotación activa
Los últimos 3 avisos de la empresa apuntan a explotación activa de las siguientes vulnerabilidades:
- CVE-2025-20333: RCE (CVSS 9.9)
- CVE-2025-20362: Unauthorized access (CVSS 6.5)
- CVE-2025-20363: RCE (CVSS 9.0)
El informe de Cisco detalla la persistencia en ROMMON en dispositivos ASA 5500-X heredados sin arranque seguro. La actividad de los atacantes incluye la implantación de malware, la ejecución de comandos, la manipulación de registros e incluso el bloqueo de dispositivos para bloquear el análisis forense.
Actualización 26/09
CVE-2025-20333 es una vulnerabilidad de servicio web por desbordamiento de búfer (CWE-120) que afecta a Cisco Secure Firewall Adaptive Security Appliance (ASA) y Cisco Secure Firewall Threat Defense (FTD). Cuando se explota CVE-2025-20333, se produce una ejecución remota de código (RCE) a nivel root en el sistema afectado. Cisco declaró que se han observado intentos de explotación in situ.
CVE-2025-20362 es una vulnerabilidad de servicio web de autorización faltante (CWE-862) que afecta a Cisco Secure Firewall Adaptive Security Appliance (ASA) y Cisco Secure Firewall Threat Defense (FTD). Cuando se explota CVE-2025-20362, un atacante no autenticado puede acceder a endpoints de URL restringidas que, de otro modo, requerirían autenticación.
CVE-2025-20363 es una vulnerabilidad de servicio web de desbordamiento de búfer basado en montón (CWE-122) que afecta a Cisco Secure Firewall Adaptive Security Appliance (ASA), Secure Firewall Threat Defense (FTD), IOS, IOS XE e IOS XR. Cuando se explota Cisco ASA o FTD, no se requieren credenciales; cuando se explota Cisco IOS, IOS XE o IOS XR, se requieren credenciales con privilegios bajos.
En Cisco ASA/FP se deben monitorear estas URL:
- GET /+CSCOU+/MacTunnelStart.jar
- GET /+CSCOL+/csvrloader64.cab
- GET /+CSCOL+/csvrloader.jar
Actualización 29/09
CISA ha publicado una guía de trabajo y mitigación para CVE-2025-20333 y CVE-2025-20362.
GreyNoise ha observado tráfico que activa su etiqueta Cisco ASA Scanner, procedente y dirigido a los siguientes países:
- Principales países de origen:
- Brasil (64%)
- Argentina (8%)
- Estados Unidos (8%)
- Principales países de destino:
- Estados Unidos (97%)
- Reino Unido (5%)
- Alemania (3%)