Cisco ASA/FTD の VPN Web サーバで root 権限のRCE（悪用確認済み）

Critical（CVSS 9.9）に分類されるCisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD)の脆弱性です。Cisco Secure Firewall ASA ソフトウェアと Secure Firewall Threat Defense（FTD）ソフトウェアの VPN Web サーバに、HTTP(S) リクエスト中の入力検証の不備がある。有効な VPN ユーザーの資格情報を持つリモートの攻撃者が細工した HTTP リクエストを送ると、root として任意コードを実行でき、機器の完全な侵害に至り得る。前提は VPN ユーザー資格情報だけで、管理者権限は不要である点が重い。影響範囲は NVD の CPE で、ASA が 9.12.4.72 / 9.14.4.28 / 9.16.4.85 / 9.17.1.45 / 9.18.4.47 / 9.19.1.37 / 9.20.3.7 / 9.22.1.3 の各未満、FTD が 7.0.8.1 未満、7.2.9 未満、7.4.2.4 未満、および 7.6.0 とされる。CVSS は Cisco（CNA）による CVSS 3.1 の 9.9 Critical（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2025-09-25 に収載され、是正期限は翌日の 2025-09-26 という異例の短さで、緊急指令 ED 25-03 に基づくコアダンプ採取と痕跡調査の補足指示も出ている。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

判定は show version でソフトウェア版を取り、ASA なら各トレインの修正ビルド（9.12.4.72 / 9.14.4.28 / 9.16.4.85 / 9.17.1.45 / 9.18.4.47 / 9.19.1.37 / 9.20.3.7 / 9.22.1.3）以上か、FTD なら 7.0.8.1 / 7.2.9 / 7.4.2.4 以上かを見る。ここで注意したいのは、同時公表の CVE-2025-20362 の修正版が本件より後のビルド（例えば ASA 9.18 系は 9.18.4.67、9.20 系は 9.20.4.10、9.22 系は 9.22.2.14、FTD は 7.2.10.2 や 7.6.2.1）になっている点で、二件をまとめて塞ぐには高い方のビルドへ上げる必要がある。低い方で止めると片方が残る。該当性は show running-config webvpn などで VPN Web サーバの有効化を見るが、実際は資産の抜けの方が問題になりやすい。撤去予定で残置された古い ASA、支店や検証環境の小型機、クラウドや仮想環境の ASAv と FTDv、FMC 配下ではなく単体運用している機器が漏れやすい。すぐ更新できない場合の緩和は経路を閉じることで、リモートアクセス VPN の外部公開を止めるか接続元を限定する。正規利用者の資格情報が前提の攻撃なので、公開したまま資格情報の強度だけを上げても防げない。これは実際に悪用されている案件で、更新だけでは終わらない。CISA の ED 25-03 と補足指示はコアダンプの採取と痕跡調査の手順を示しており、更新前に証跡を確保することが求められている。更新後は VPN ユーザーと管理者の資格情報、証明書と鍵の再発行、設定の差分確認、ブートイメージやディスク上の想定外ファイルの確認まで行う。完了条件は、全機が両 CVE を含む修正ビルド以上であること、痕跡調査の結果が記録されていること、資格情報と鍵の再発行が済んでいること。是正期限 2025-09-26 は大幅に超過しているため、未更新機が残っていれば期限超過として最優先で扱う。

Cisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-20333）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/26 です。推奨される対応: KEV の期限は、米連邦政府機関が緊急指令 ED 25-03 の内容を確認し実施を開始すべき期限を指す。CISA が示す緩和手順とベンダーの指示に従い、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。