Kerngegevens
- Leverancier
- Cisco
- Producten
- Cisco Secure Firewall Adaptive Security Appliance (ASA) Software
- Cisco Secure Firewall Threat Defense (FTD) Software
- Soort software
- netwerk
- Getroffen versies
- Cisco Secure Firewall ASA Software meerdere releasereeksen; controleer je versie met de Cisco Software Checker
- Cisco Secure Firewall Threat Defense (FTD) Software meerdere releasereeksen; controleer je versie met de Cisco Software Checker
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 25 september 2025
- Op de KEV-lijst sinds
- 25 september 2025
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de VPN-webserver van Cisco Secure Firewall ASA Software en Cisco Secure Firewall Threat Defense (FTD) Software zit een fout waardoor een aanvaller bepaalde beveiligde webadressen kan openen zonder in te loggen. Het gaat om adressen die bij VPN-toegang op afstand horen. Het lek staat sinds september 2025 op de lijst van actief misbruikte lekken. Cisco meldde op 5 november 2025 ook een nieuwe aanvalsvariant waarmee niet-bijgewerkte apparaten onverwacht opnieuw opstarten, wat tot een storing van de dienst leidt.
Wie loopt risico?
Je loopt risico als je Cisco ASA- of FTD-apparaten gebruikt die nog niet zijn bijgewerkt en waarvan de VPN-webserver bereikbaar is via het netwerk. De aanvaller hoeft geen account te hebben en je hoeft zelf niets te doen. Een aanvaller kan beperkt gegevens inzien en wijzigen. Vooral organisaties die deze firewalls als VPN-toegang voor medewerkers gebruiken, moeten dit controleren.
Wat moet je doen?
Ga na of je getroffen apparaten hebt
Controleer of je Cisco ASA of FTD gebruikt met VPN-toegang op afstand via de webserver. Zoek je exacte versie op in de Cisco Software Checker in het advies.
Werk bij naar een opgeloste versie
Installeer de opgeloste versie die de Software Checker voor jouw apparaat noemt. Dezelfde updates lossen ook CVE-2025-20333 op.
Lees ook de pagina over aanhoudende aanvallen
Cisco heeft een aparte pagina over voortdurende aanvallen op ASA en FTD. Volg de maatregelen die daar staan, ook als je al hebt bijgewerkt.
Let op afwijkend gedrag
Let op onverwachte herstarts van apparaten en ongebruikelijke verzoeken naar de VPN-webserver. Dit kan wijzen op misbruik of op de aanvalsvariant van november 2025.
Let op het andere ASA-lek
Aanvallers combineerden dit lek met CVE-2025-20333, waarmee ze code als root uitvoerden: https://lekkenradar.nl/cve/cve-2025-20333/.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de VPN-webserver van Cisco Secure Firewall ASA Software en Cisco Secure Firewall Threat Defense (FTD) Software en wordt veroorzaakt door onvoldoende controle van invoer in HTTP(S)-verzoeken. Een niet-geauthenticeerde aanvaller op afstand kan speciaal opgestelde HTTP-verzoeken naar het apparaat sturen. Daarmee krijgt hij toegang tot URL-endpoints voor remote access VPN die zonder authenticatie niet bereikbaar horen te zijn. Het gaat om ontbrekende autorisatie (CWE-862). De CVSS-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat het via het netwerk, zonder inloggegevens en zonder gebruikersactie uitgebuit kan worden, met beperkte gevolgen voor vertrouwelijkheid en integriteit. Een aanvalsvariant van 5 november 2025 kan bij niet-bijgewerkte apparaten, die ook door CVE-2025-20333 en CVE-2025-20362 getroffen zijn, een onverwachte herstart veroorzaken en zo een denial-of-service.
CVSS-vector (versie 3.1, basisscore 6,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N- Zwakheid (CWE)
- CWE-862 · Ontbrekende autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 87,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 25 september 2025
- Deadline van CISA
- 26 september 2025
- Gebruikt door ransomwaregroepen
- Niet bekend