CVE-2025-20333
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Buffer Overflow Vulnerability
Beschreibung
CVE-2025-20333 ist eine Pufferueberlauf-Schwachstelle im VPN-Webserver von Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software. Ein authentifizierter Angreifer mit gueltigen VPN-Zugangsdaten kann durch das Senden manipulierter HTTP-Anfragen beliebigen Code als Root auf dem betroffenen Geraet ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.9 (CRITICAL) bewertet und ermoeglicht die vollstaendige Kompromittierung des Geraets.
Die CISA hat CVE-2025-20333 in den KEV-Katalog aufgenommen, mit einer aussergewoehnlich kurzen Behebungsfrist bis zum 26. September 2025. Der EPSS-Score von 18.66 % (95. Perzentil) zeigt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung an. Diese Schwachstelle wird haeufig in Kombination mit CVE-2025-20362 als Angriffskette ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | >= 9.12, < 9.12.4.72; >= 9.14, < 9.14.4.28; >= 9.16, < 9.16.4.85; >= 9.17.0, < 9.17.1.45; >= 9.18, < 9.18.4.47; >= 9.19, < 9.19.1.37; >= 9.20, < 9.20.3.7; >= 9.22, < 9.22.1.3 |
| cisco | secure firewall threat defense | >= 7.0.0, < 7.0.8.1; >= 7.1.0, < 7.2.9; >= 7.3.0, < 7.4.2.4; 7.6.0 |
Referenzen
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB(Vendor Advisory)
- https://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_continued_attacks(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-20333(US Government Resource)
Schwachstellentyp
CWE-120: Buffer Copy without Checking Size of Input
CVE-2025-20333 basiert auf CWE-120 (Buffer Copy without Checking Size of Input), einer klassischen Schwachstellenklasse, bei der Daten in einen Puffer kopiert werden, ohne die Groesse der Eingabe zu ueberpruefen. Im VPN-Webserver von Cisco ASA und FTD fuehrt die unsachgemaesse Laengenpruefung von HTTP-Anfrageparametern dazu, dass ein Angreifer den Puffer ueberschreiben und die Kontrolle ueber den Programmfluss erlangen kann.
Weitere Informationen: CWE-120 -- Buffer Copy without Checking Size of Input
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-20333 sind mit einem CVSS-Score von 9.9 (CRITICAL) ausserordentlich schwerwiegend. Die Schwachstelle ist ueber das Netzwerk ausnutzbar (AV:N) mit niedriger Angriffskomplexitaet (AC:L) und erfordert lediglich niedrige Privilegien (PR:L) in Form gueltiger VPN-Zugangsdaten. Vertraulichkeit (High): Ein Angreifer mit Code-Ausfuehrung als Root kann auf saemtliche Konfigurationsdaten, VPN-Zugangsdaten, Zertifikate und Verschluesselungsschluessel des Firewalls zugreifen. Integritaet (High): Der Angreifer kann die Firewall-Konfiguration aendern, Backdoors installieren, Verkehrsregeln manipulieren und die gesamte Sicherheitsarchitektur kompromittieren. Verfuegbarkeit (High): Der Angreifer kann das Geraet ausser Betrieb setzen oder dessen Ressourcen fuer weitere Angriffe missbrauchen. Der Scope ist als Changed (S:C) eingestuft, was bedeutet, dass die Kompromittierung des Firewalls Auswirkungen auf alle dahinter liegenden Netzwerke und Systeme haben kann. Der EPSS-Score von 18.66 % im 95. Perzentil unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2025-20333 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer aussergewoehnlich kurzen Behebungsfrist von nur einem Tag (bis zum 26. September 2025). Der EPSS-Score von 18.66 % (95. Perzentil) ist ausserordentlich hoch und platziert diese Schwachstelle in den Top 5 % der am staerksten ausgenutzten weltweit. Cisco hat am 5. November 2025 in einer aktualisierten Sicherheitswarnung dokumentiert, dass CVE-2025-20333 in Kombination mit CVE-2025-20362 fuer eine neue Angriffsvariante ausgenutzt wird, die ungepatchte Geraete zum Neustart zwingt. Der Ransomware-Status ist als Unknown klassifiziert, jedoch macht die Faehigkeit zur vollstaendigen Geraeteuebernahme als Root diese Schwachstelle fuer alle Arten fortgeschrittener Angriffe attraktiv.
Behebung
-
Umgehend auf gepatchte Versionen aktualisieren: Cisco hat Sicherheitsupdates bereitgestellt. Fuer ASA Software: Aktualisieren Sie auf Version 9.12.4.72, 9.14.4.28, 9.16.4.85, 9.17.1.45, 9.18.4.47, 9.19.1.37, 9.20.3.7 oder 9.22.1.3 je nach eingesetztem Release-Zweig. Fuer FTD Software: Aktualisieren Sie auf Version 7.0.8.1, 7.2.9, 7.4.2.4 oder hoeher. Version 7.6.0 ist ebenfalls betroffen.
-
Kombination mit CVE-2025-20362 beachten: Beide Schwachstellen werden gemeinsam als Angriffskette ausgenutzt. Stellen Sie sicher, dass auch CVE-2025-20362 gepatcht ist.
-
VPN-Zugangsdaten ueberpruefen: Ueberpruefen Sie alle VPN-Benutzerkonten auf unautorisierte Zugriffe. Setzen Sie Passwoerter zurueck und aktivieren Sie Multi-Faktor-Authentifizierung fuer alle VPN-Zugaenge, um die Ausnutzung zu erschweren.
-
Forensische Untersuchung durchfuehren: Aufgrund der aktiven Ausnutzung und der Root-Rechte bei erfolgreicher Ausnutzung sollten alle ASA/FTD-Geraete auf Anzeichen einer Kompromittierung untersucht werden. Pruefen Sie Konfigurationsaenderungen, unbekannte Benutzerkonten und anomale Netzwerkaktivitaeten.
-
Netzwerksegmentierung verstaerken: Stellen Sie sicher, dass selbst bei einer Kompromittierung des Firewalls die Ausbreitung im Netzwerk begrenzt ist. Implementieren Sie Defense-in-Depth-Strategien mit mehreren Sicherheitsebenen.
Technische Details
CVE-2025-20333 betrifft den VPN-Webserver von Cisco Secure Firewall ASA Software und FTD Software. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist. Ein Angreifer benoetigt niedrige Privilegien (PR:L) in Form gueltiger VPN-Zugangsdaten, keine Benutzerinteraktion (UI:N) ist erforderlich. Die Schwachstelle basiert auf einem Pufferueberlauf durch fehlende Groessenpruefung bei der Verarbeitung von HTTP(S)-Anfragen im VPN-Webserver. Wenn ein authentifizierter VPN-Benutzer speziell manipulierte HTTP-Anfragen sendet, werden die Eingabedaten ohne ausreichende Laengenpruefung in einen Puffer kopiert, wodurch angrenzender Speicher ueberschrieben wird. Dies ermoeglicht dem Angreifer, den Programmfluss zu kontrollieren und beliebigen Code mit Root-Rechten auszufuehren. Der Scope ist als Changed (S:C) klassifiziert, da ein kompromittiertes Firewall-Geraet die Sicherheit aller dahinter liegenden Netzwerke und Systeme beeintraechtigt. Alle drei Impact-Metriken (Vertraulichkeit, Integritaet, Verfuegbarkeit) sind auf High gesetzt, was die vollstaendige Systemuebernahme widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2025-20333 aktiv ausgenutzt?
Ja, CVE-2025-20333 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und Cisco hat am 5. November 2025 eine neue Angriffsvariante dokumentiert, bei der CVE-2025-20333 zusammen mit CVE-2025-20362 in einer Angriffskette ausgenutzt wird. Der EPSS-Score von 18.66 % (95. Perzentil) bestaetigt die ausserordentlich hohe Ausnutzungsaktivitaet.
Welche Produkte sind von CVE-2025-20333 betroffen?
Betroffen sind Cisco Secure Firewall ASA Software (Versionen 9.12 bis 9.22) und Cisco Secure Firewall Threat Defense Software (Versionen 7.0.0 bis 7.6.0). Beide Produkte dienen als VPN-Gateways und Firewalls in zahlreichen Unternehmensumgebungen weltweit.
Wie behebe ich CVE-2025-20333?
Installieren Sie umgehend die von Cisco bereitgestellten Sicherheitsupdates gemaess dem Security Advisory cisco-sa-asaftd-webvpn-z5xP8EUB. Beachten Sie, dass auch CVE-2025-20362 gleichzeitig gepatcht werden muss. Aktivieren Sie Multi-Faktor-Authentifizierung fuer alle VPN-Zugaenge.
Wie schwerwiegend ist CVE-2025-20333?
Mit einem CVSS-Score von 9.9 (CRITICAL) ist CVE-2025-20333 eine der schwerwiegendsten Schwachstellen in Cisco ASA/FTD. Der Scope-Wechsel (Changed) bedeutet, dass ein kompromittiertes Firewall-Geraet die Sicherheit aller dahinter liegenden Netzwerke gefaehrdet. Der EPSS-Score von 18.66 % (95. Perzentil) zeigt, dass aktive Ausnutzung weit verbreitet ist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.