CVE-2026-20349
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Heap Inspection Vulnerability
Beschreibung
CVE-2026-20349 ist eine Denial-of-Service-Schwachstelle (DoS) mit hohem Schweregrad im Remote-Access-SSL-VPN-Dienst der Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und der Cisco Secure Firewall Threat Defense (FTD) Software. Ein nicht authentifizierter, entfernter Angreifer kann eine präparierte HTTP-Anfrage an den Remote-Access-SSL-VPN-Dienst senden und das betroffene Gerät zu einem unerwarteten Neustart zwingen, was zu einem Denial-of-Service-Zustand führt. Ursache ist eine unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen durch das Gerät, und da weder Authentifizierung noch Benutzerinteraktion erforderlich sind, lässt sich die Schwachstelle bei exponierten ASA- und FTD-Firewalls trivial auslösen. Mit einem CVSS-Wert von 8.6 und der Aufnahme in den Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA stellt CVE-2026-20349 ein dringendes Verfügbarkeitsrisiko für Organisationen dar, die diese Cisco-Firewalls für Remote-Access-VPN-Konnektivität einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | adaptive security appliance software | 9.16.1; 9.16.1.28; 9.16.2; 9.16.2.3; 9.16.2.7; 9.16.2.11; 9.16.2.13; 9.16.2.14; 9.16.3; 9.16.3.3; 9.16.3.14; 9.16.3.15; 9.16.3.19; 9.16.3.23; 9.16.4; 9.16.4.9; 9.16.4.14; 9.16.4.19; 9.16.4.27; 9.16.4.38; 9.16.4.39; 9.16.4.42; 9.16.4.48; 9.16.4.55; 9.16.4.57; 9.16.4.61; 9.16.4.62; 9.16.4.67; 9.16.4.70; 9.16.4.71; 9.16.4.76; 9.16.4.82; 9.16.4.84; 9.16.4.85; 9.16.4.89; 9.16.4.92; 9.18.1; 9.18.1.3; 9.18.2; 9.18.2.5; 9.18.2.7; 9.18.2.8; 9.18.3; 9.18.3.39; 9.18.3.46; 9.18.3.53; 9.18.3.55; 9.18.3.56; 9.18.4; 9.18.4.5; 9.18.4.8; 9.18.4.22; 9.18.4.24; 9.18.4.29; 9.18.4.34; 9.18.4.40; 9.18.4.47; 9.18.4.50; 9.18.4.52; 9.18.4.53; 9.18.4.57; 9.18.4.66; 9.18.4.67; 9.18.4.68; 9.18.4.71; 9.18.4.76; 9.18.4.82; 9.18.4.90; 9.18.4.135; 9.19.1; 9.19.1.5; 9.19.1.9; 9.19.1.12; 9.19.1.18; 9.19.1.22; 9.19.1.24; 9.19.1.27; 9.19.1.28; 9.19.1.31; 9.19.1.37; 9.19.1.38; 9.19.1.42; 9.20.1; 9.20.1.5; 9.20.2; 9.20.2.10; 9.20.2.21; 9.20.2.22; 9.20.3; 9.20.3.4; 9.20.3.7; 9.20.3.9; 9.20.3.10; 9.20.3.13; 9.20.3.16; 9.20.3.20; 9.20.4; 9.20.4.7; 9.20.4.10; 9.20.4.14; 9.20.4.19; 9.20.4.22; 9.20.4.28; 9.20.4.30; 9.20.4.34; 9.20.4.46; 9.22.1.1; 9.22.1.2; 9.22.1.3; 9.22.1.6; 9.22.2; 9.22.2.4; 9.22.2.9; 9.22.2.13; 9.22.2.14; 9.22.2.20; 9.22.2.32; 9.22.3; 9.22.3.5; 9.23.1; 9.23.1.3; 9.23.1.7; 9.23.1.13; 9.23.1.19; 9.23.1.22; 9.23.1.26; 9.23.1.32; 9.23.1.195; 9.24.1; 9.24.1.5; 9.24.1.9; 9.24.1.11; 9.24.1.155 |
| cisco | secure firewall threat defense | 7.0.0; 7.0.0.1; 7.0.1; 7.0.1.1; 7.0.2; 7.0.2.1; 7.0.3; 7.0.4; 7.0.5; 7.0.6; 7.0.6.1; 7.0.6.2; 7.0.6.3; 7.0.7; 7.0.8; 7.0.8.1; 7.0.9; 7.2.0; 7.2.0.1; 7.2.1; 7.2.2; 7.2.3; 7.2.4; 7.2.4.1; 7.2.5; 7.2.5.1; 7.2.5.2; 7.2.6; 7.2.7; 7.2.8; 7.2.8.1; 7.2.9; 7.2.10; 7.2.10.2; 7.2.11; 7.2.12; 7.3.0; 7.3.1; 7.3.1.1; 7.3.1.2; 7.4.0; 7.4.1; 7.4.1.1; 7.4.2; 7.4.2.1; 7.4.2.2; 7.4.2.3; 7.4.2.4; 7.4.3; 7.4.4; 7.4.7; 7.4.8; 7.6.0; 7.6.1; 7.6.2; 7.6.2.1; 7.6.4; 7.7.0; 7.7.10; 7.7.10.1; 7.7.11; 7.7.13; 10.0.0; 10.0.2 |
Referenzen
Schwachstellentyp
CWE-244
CVE-2026-20349 ist unter CWE-244 kategorisiert. In diesem Fall zeigt sich die Schwäche als unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen durch den Remote-Access-SSL-VPN-Dienst, wodurch eine präparierte Anfrage das Gerät zu einem unerwarteten Neustart und in einen Denial-of-Service-Zustand zwingen kann.
Mehr erfahren: CWE-244
Auswirkungsanalyse
CVE-2026-20349 ist als hoch mit einem CVSS-Wert von 8.6 eingestuft. Der Angriffsvektor ist netzwerkbasiert, wodurch die Schwachstelle aus der Ferne ohne physischen Zugriff ausnutzbar ist, und die Angriffskomplexität ist niedrig, sodass sie ohne besondere Voraussetzungen ausgelöst werden kann. Es sind keine Privilegien erforderlich und keine Benutzerinteraktion nötig, das heißt ein Angreifer kann ein exponiertes Gerät ohne Authentifizierung und ohne Beteiligung eines Opfers ausnutzen. Der Scope ist geändert (Changed), was darauf hinweist, dass die Auswirkungen über die verwundbare Komponente hinaus auf die umliegenden Systeme und Benutzer reichen können, die von der Firewall abhängen. Die Auswirkung beschränkt sich auf die Verfügbarkeit, die hoch ist, während Vertraulichkeit und Integrität nicht betroffen sind: Eine erfolgreiche Ausnutzung führt zum Neustart des ASA- oder FTD-Geräts, unterbricht VPN-Sitzungen und den Netzwerkzugriff bis zur Wiederherstellung, und wiederholte Angriffe können den Ausfall aufrechterhalten. Mit einem EPSS-Wert von rund 0,9 % (56. Perzentil) und bestätigter KEV-Listung ist das praktische Risiko für internetzugängliche Remote-Access-VPN-Umgebungen erheblich.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-20349 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, sodass Organisationen diese DoS-Schwachstelle als reale Bedrohung behandeln und das Patchen priorisieren sollten. Der EPSS-Wert von etwa 0,9 % (56. Perzentil) deutet darauf hin, dass eine breite automatisierte Ausnutzung noch nicht die Regel ist, doch die KEV-Listung zeigt, dass Angreifer die Schwachstelle bereits gegen Cisco-ASA- und -FTD-Geräte einsetzen. Über das Cisco-Herstelleradvisory hinaus ist kein dedizierter öffentlicher Exploit-Link unter den Referenzen aufgeführt, und das KEV-Ransomware-Kennzeichen ist derzeit „Unknown". Angesichts der einfachen Auslösbarkeit eines nicht authentifizierten Geräteneustarts sollten Verteidiger davon ausgehen, dass zuverlässige Exploit-Techniken existieren.
Behebung
- Installieren Sie das Cisco-Software-Update für die betroffene ASA/FTD-Version. Gemäß der KEV-Handlungsanweisung der CISA sind Maßnahmen entsprechend den Herstelleranweisungen und der BOD-26-04-Vorgabe umzusetzen; sind keine Fixes verfügbar, ist die Nutzung des betroffenen Produkts einzustellen.
- Ziehen Sie das Cisco Security Advisory (cisco-sa-asaftd-vpn-dos-dzv4mQFF) heran, um die korrigierte Version für Ihre konkrete ASA- oder FTD-Version zu ermitteln, und aktualisieren Sie entsprechend, da eine sehr breite Palette von ASA-Builds (9.16.x bis 9.24.x) und FTD-Builds (7.0.x bis 10.0.x) betroffen ist.
- Begrenzen Sie nach Möglichkeit die Exposition des Remote-Access-SSL-VPN-Dienstes, beschränken Sie die Erreichbarkeit der HTTPS-/SSL-VPN-Schnittstelle auf erwartete Client-Netzwerke und reduzieren Sie über Zugriffskontrollen die Menge der Hosts, die Anfragen an den Dienst senden können.
- Überwachen Sie Geräte auf unerwartete Neustarts und Absturzindikatoren, prüfen Sie Syslog- und Crash-Protokolle auf Anzeichen von DoS-Ausnutzungsversuchen und richten Sie Alarmierung bei ungewöhnlichen Geräteneustarts ein.
- Treffen Sie Vorkehrungen für Failover und Betriebskontinuität, etwa Hochverfügbarkeits-Firewall-Paare, damit ein ausgelöster Neustart nicht zu einem langanhaltenden Remote-Access-Ausfall führt.
Technische Details
CVE-2026-20349 entsteht durch eine unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen durch den Remote-Access-SSL-VPN-Dienst der Cisco-ASA- und -FTD-Software. Ein Angreifer nutzt dies aus, indem er eine speziell präparierte HTTP-Anfrage an den SSL-VPN-Dienst sendet, die das Gerät nicht korrekt verarbeitet und mit einem unerwarteten Neustart beantwortet. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H zeigt, dass der Angriff über das Netzwerk mit niedriger Komplexität erreichbar ist, weder Privilegien noch Benutzerinteraktion erfordert und einen geänderten Scope mit hoher Verfügbarkeitsauswirkung, aber ohne Auswirkung auf Vertraulichkeit oder Integrität aufweist — im Einklang mit einem reinen Denial-of-Service-Zustand statt Codeausführung oder Datenoffenlegung. Da der Neustart die Sicherheitsappliance stört, die den Remote-Zugriff vieler nachgelagerter Benutzer vermittelt, spiegelt der geänderte Scope wider, dass die Folgen über den Firewall-Prozess selbst hinausreichen.
Häufig gestellte Fragen
Wird CVE-2026-20349 aktiv ausgenutzt?
Ja. CVE-2026-20349 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Wert liegt zwar bei rund 0,9 %, doch die KEV-Listung bedeutet, dass exponierte Cisco-ASA- und -FTD-Geräte dringend gepatcht werden sollten.
Welche Produkte sind von CVE-2026-20349 betroffen?
Die Schwachstelle betrifft den Remote-Access-SSL-VPN-Dienst der Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und der Cisco Secure Firewall Threat Defense (FTD) Software. Betroffen ist eine sehr breite Palette von Versionen, darunter ASA-Builds 9.16.x bis 9.24.x und FTD-Builds 7.0.x bis 10.0.x; die genauen korrigierten Versionen sind dem Cisco-Advisory zu entnehmen.
Wie behebe ich CVE-2026-20349?
Installieren Sie das Cisco-Software-Update für Ihre konkrete ASA- oder FTD-Version gemäß dem Cisco Security Advisory cisco-sa-asaftd-vpn-dos-dzv4mQFF und folgen Sie der KEV-Vorgabe der CISA nach BOD 26-04. Beschränken Sie nach Möglichkeit den Zugriff auf den SSL-VPN-Dienst und überwachen Sie Geräte auf unerwartete Neustarts.
Wie schwerwiegend ist CVE-2026-20349?
Sie ist als hoch mit einem CVSS-3.1-Wert von 8.6 eingestuft. Sie ist nicht authentifiziert, über das Netzwerk ausnutzbar und erfordert keine Benutzerinteraktion, bei geändertem Scope und hoher Verfügbarkeitsauswirkung; Vertraulichkeit und Integrität sind jedoch nicht betroffen, da die Folge ein Denial-of-Service-Neustart des Geräts und keine Codeausführung ist.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.