Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di rete. Entrambe le falle consentono l’esecuzione di codice arbitrario e potrebbero portare al completo compromesso dei dispositivi coinvolti.

CVE-2025-20363 (Score 9,0)

La prima vulnerabilità, identificata come CVE-2025-20363 e con punteggio CVSS 9.0 (critico), riguarda i servizi web di:

• Cisco Secure Firewall ASA Software
• Cisco Secure Firewall FTD Software
• Cisco IOS Software
• Cisco IOS XE Software
• Cisco IOS XR Software

Nel caso dei firewall ASA e FTD, la falla può essere sfruttata da un attaccante remoto non autenticato. Per le piattaforme IOS, IOS XE e IOS XR è invece necessario disporre di credenziali a basso livello di privilegio.

L’origine del problema risiede nella gestione non corretta degli input nelle richieste HTTP. Un aggressore può inviare pacchetti manipolati verso i servizi web esposti da un dispositivo vulnerabile, ottenendo la possibilità di eseguire codice arbitrario con privilegi root. Una compromissione di questo tipo può determinare il controllo totale del sistema.

CVE-2025-20333 (Score 9,9)

La seconda falla, già entrata all’interno del catalogo del CISA KEV, catalogata come CVE-2025-20333, ha un punteggio ancora più elevato: CVSS 9.9 (critico). Colpisce esclusivamente i firewall ASA e FTD quando è attivo il server VPN web.

Il difetto, anche in questo caso dovuto alla mancata validazione degli input in richieste HTTP(S), può essere sfruttato da un attaccante remoto in possesso di credenziali VPN valide. L’esito di un attacco riuscito è identico al precedente: esecuzione di codice arbitrario come utente root e potenziale compromissione completa del dispositivo.

Advisory Cisco e raccomandazioni

Cisco ha pubblicato due security advisory ufficiale relativo alla vulnerabilità CVE-2025-20333 e per la CVE-2025-20363. Il Cisco Product Security Incident Response Team (PSIRT) ha segnalato di essere già a conoscenza di tentativi di sfruttamento attivo della vulnerabilità legata al server VPN. Per questo motivo, l’azienda ribadisce l’urgenza di applicare gli aggiornamenti.

La vulnerabilità è stata individuata durante la risoluzione di un caso di supporto tecnico Cisco TAC, con il contributo di diverse agenzie di sicurezza, tra cui:

• Australian Signals Directorate – Australian Cyber Security Centre
• Canadian Centre for Cyber Security
• UK National Cyber Security Centre (NCSC)
• U.S. Cybersecurity & Infrastructure Security Agency (CISA)

Per verificare se un determinato dispositivo è vulnerabile, Cisco mette a disposizione il Cisco Software Checker, che consente di:

• Identificare gli advisory che interessano una specifica release.
• Individuare la prima versione software che corregge il problema.
• Determinare la release che risolve tutte le vulnerabilità note.

Conclusioni

Le vulnerabilità CVE-2025-20363 e CVE-2025-20333 rappresentano rischi significativi per l’infrastruttura di rete aziendale. La possibilità di eseguire codice arbitrario come root rende i dispositivi interessati particolarmente esposti a compromissioni complete.

Cisco invita pertanto i clienti ad aggiornare senza ritardi i firewall ASA e FTD, seguendo le indicazioni riportate nell’advisory ufficiale disponibile al link:

L'articolo Due bug critici in Cisco ASA e FTD: score 9.9 e rischio esecuzione di codice remoto proviene da il blog della sicurezza informatica.