Kerngegevens
- Leverancier
- Cisco
- Producten
- Cisco Secure Firewall Adaptive Security Appliance (ASA) Software
- Cisco Secure Firewall Threat Defense (FTD) Software
- Soort software
- netwerk
- Getroffen versies
- Cisco Secure Firewall ASA Software meerdere releasereeksen; controleer je versie met de Cisco Software Checker
- Cisco Secure Firewall Threat Defense (FTD) Software meerdere releasereeksen; controleer je versie met de Cisco Software Checker
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 25 september 2025
- Op de KEV-lijst sinds
- 25 september 2025
- Gepubliceerd op LekkenRadar
- 19 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de VPN-webserver van Cisco Secure Firewall ASA en Secure Firewall Threat Defense (FTD) zit een fout bij het controleren van invoer in HTTP(S)-verzoeken. Een aanvaller kan daardoor zelf gekozen code laten uitvoeren op het apparaat, met root-rechten. Het apparaat kan dan volledig in handen van de aanvaller komen. Het lek staat sinds september 2025 op de lijst van actief misbruikte lekken van CISA (KEV).
Wie loopt risico?
Je loopt risico als je een Cisco ASA of FTD gebruikt met een VPN-webserver die via het netwerk bereikbaar is. De aanvaller heeft wel geldige VPN-inloggegevens nodig, maar daarna is een speciaal opgemaakt HTTP-verzoek genoeg. Vooral organisaties die deze firewalls als VPN-toegang gebruiken, zijn kwetsbaar. Dat geldt zeker als accounts zijn gelekt of zwak beveiligd zijn.
Wat moet je doen?
Ga na of je getroffen apparaten hebt
Controleer of je Cisco ASA of FTD gebruikt met de VPN-webserver aan (AnyConnect/Secure Client SSL VPN of clientless VPN). Zoek je exacte versie op in de Cisco Software Checker in het advies.
Werk bij naar een opgeloste versie
Cisco heeft voor alle ondersteunde releasereeksen updates uitgebracht. Installeer de opgeloste versie die de Software Checker voor jouw apparaat noemt. Er is geen workaround.
Volg de pagina over aanhoudende aanvallen
Cisco heeft een aparte pagina over de aanvallen op ASA en FTD (campagne ArcaneDoor). Volg de controlestappen daar, ook als je al hebt bijgewerkt.
Vervang wachtwoorden en controleer accounts
Voor dit lek zijn geldige VPN-gegevens nodig; in de aanvallen werd het gecombineerd met CVE-2025-20362. Wijzig wachtwoorden van VPN- en beheeraccounts en verwijder accounts die niet meer nodig zijn.
Let op het andere ASA-lek
Zie ook CVE-2025-20362, waarmee aanvallers zonder inloggen bij beveiligde VPN-adressen kwamen: https://lekkenradar.nl/cve/cve-2025-20362/.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de VPN-webserver van Cisco Secure Firewall ASA Software en Cisco Secure Firewall Threat Defense Software. Door onvoldoende validatie van door de gebruiker aangeleverde invoer in HTTP(S)-verzoeken ontstaat een bufferoverloop (CWE-120). Een aanvaller met geldige VPN-gebruikersgegevens kan via het netwerk speciaal opgemaakte HTTP-verzoeken sturen om willekeurige code uit te voeren als root. De aanvalscomplexiteit is laag en er is geen gebruikersinteractie nodig. De CVSS-vector (3.1) geeft een veranderd bereik (scope changed) aan en een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 9,9, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-120 · Klassieke bufferoverloop (kopiëren van gegevens naar een buffer zonder de grootte van de invoer te controleren)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 71,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 25 september 2025
- Deadline van CISA
- 26 september 2025
- Gebruikt door ransomwaregroepen
- Niet bekend