Cisco ha emitido una alerta urgente solicitando a sus clientes aplicar parches para corregir dos vulnerabilidades de día cero (zero-day) que afectan al servidor web VPN de Cisco Secure Firewall Adaptive Security Appliance (ASA) Software y Cisco Secure Firewall Threat Defense (FTD) Software. Estas vulnerabilidades están siendo explotadas activamente en entornos reales.
Las vulnerabilidades identificadas son:
* **CVE-2025-20333 (CVSS 9.9):** Validación incorrecta de entradas de usuario en solicitudes HTTP(S). Un atacante remoto autenticado, con credenciales VPN válidas, podría ejecutar código arbitrario como root en un dispositivo afectado enviando solicitudes HTTP especialmente diseñadas.
* **CVE-2025-20362 (CVSS 6.5):** Validación incorrecta de entradas de usuario en solicitudes HTTP(S). Un atacante remoto no autenticado podría acceder a endpoints URL restringidos sin autenticación, enviando solicitudes HTTP especialmente diseñadas.
Cisco ha confirmado intentos de explotación de ambas vulnerabilidades, aunque no ha revelado detalles sobre los atacantes o la magnitud de los ataques. Se sospecha que ambas vulnerabilidades se están encadenando para evitar la autenticación y ejecutar código malicioso en los dispositivos vulnerables.
La Agencia de Ciberseguridad y Seguridad de la Infraestructura de EE. UU. (CISA) ha emitido una directiva de emergencia instando a las agencias federales a identificar, analizar y mitigar posibles compromisos de manera inmediata. Las vulnerabilidades han sido agregadas al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), otorgando a las agencias 24 horas para aplicar las mitigaciones necesarias.
CISA ha vinculado la actividad a un grupo de amenazas conocido como ArcaneDoor (UAT4356 o Storm-1849), previamente identificado por atacar dispositivos de perímetro de red de varios proveedores, incluyendo Cisco, para desplegar malware como Line Runner y Line Dancer.
La manipulación de la memoria ROM del ASA por parte de este grupo de amenazas ha sido detectada desde 2024. Estas vulnerabilidades zero-day también están presentes en versiones específicas de Cisco Firepower. Sin embargo, la función Secure Boot de Firepower detectaría la manipulación de la ROM.
En INGENIERÍA TELEMÁTICA SAS, comprendemos la criticidad de esta alerta. Si su organización utiliza Cisco ASA o FTD, es imperativo aplicar los parches de seguridad proporcionados por Cisco a la brevedad. Si desea ayuda para evaluar su exposición o necesita soporte en la implementación de las medidas de mitigación, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Nuestro equipo de expertos está listo para brindarle la asistencia necesaria para proteger su infraestructura.
Fuente original: Ver aquí