Cisco ASA/FTD で未認証のまま VPN 用URLへ到達（悪用確認済み）

High（CVSS 8.6）に分類されるCisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD)の脆弱性です。Cisco Secure Firewall ASA と FTD の VPN Web サーバで、HTTP(S) リクエストの入力検証が不十分なため、未認証のリモート攻撃者が本来は認証なしでは触れないリモートアクセス VPN 関連の制限された URL エンドポイントへ到達できる。単体では認可の欠落だが、同時公表の CVE-2025-20333（VPN ユーザー権限からの root コード実行）と組み合わせる形で使われた点が問題になった。さらに Cisco は 2025年11月5日、両 CVE が未修正の機器を予期せず再起動させて DoS を起こす新たな攻撃変種を把握したと追記した。影響範囲は NVD の CPE で、ASA が 9.12.4.72 / 9.14.4.28 / 9.16.4.85 / 9.18.4.67 / 9.20.4.10 / 9.22.2.14 / 9.23.1.19 の各未満、FTD が 7.0.8.1 / 7.2.10.2 / 7.4.2.4 / 7.6.2.1 / 7.7.10.1 の各未満とされる。CVSS は評価元で分かれており、NVD（Primary）が 8.6 High（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H）、Cisco（CNA）が 6.5 Medium（同じベクタで A:N）である。差は可用性影響の見方で、後から判明した DoS 変種を踏まえると NVD 側の評価が実態に近い。CISA KEV には 2025-09-25 に収載され、是正期限は 2025-09-26。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

判定は show version で版を取り、CPE の上限値に対応する修正ビルド（ASA は 9.12.4.72 / 9.14.4.28 / 9.16.4.85 / 9.18.4.67 / 9.20.4.10 / 9.22.2.14 / 9.23.1.19、FTD は 7.0.8.1 / 7.2.10.2 / 7.4.2.4 / 7.6.2.1 / 7.7.10.1）以上かを確認する。ここが本件の落とし穴で、同時公表の CVE-2025-20333 用に一度更新した機器でも、本件の修正版はそれより後のビルドになっているため、当時の更新で止まっていると片方だけ塞がった状態になる。二件は同じ VPN Web サーバの問題であり、両方を含む高い方のビルドへ揃えるのが正しい終点である。加えて、2025年11月に追記された DoS 変種は未修正機を再起動させるので、可用性の観点からも先延ばしにできない。資産の洗い出しでは、リモートアクセス VPN を止めた後も HTTP サーバだけ生きている機器、支店の小型機、撤去待ちの残置機、クラウドや仮想環境の ASAv と FTDv が漏れやすい。すぐ更新できない場合の緩和は、リモートアクセス VPN 用の Web サーバの外部公開を止めることである。認証前に到達される脆弱性なので、資格情報の強化やアカウントロックの調整では防げず、経路を閉じる以外に効く手が無い。KEV 収載済みで実際に悪用されているため、更新後にも作業が残る。CISA の緊急指令 ED 25-03 とその補足指示にコアダンプ採取と痕跡調査の手順が示されており、更新の前に証跡を取ることが求められる。更新後は VPN ユーザーと管理者の資格情報の再発行、設定の差分確認、想定外の再起動履歴の確認まで行う。完了条件は、全機が両 CVE を含む修正ビルド以上であること、痕跡調査の結果が記録されていること、資格情報の再発行が済んでいることの3点。是正期限 2025-09-26 は大幅に超過しており、未更新機が残っていれば期限超過として扱う。

Cisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-20362）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/26 です。推奨される対応: KEV の期限は、米連邦政府機関が緊急指令 ED 25-03 の内容を確認し実施を開始すべき期限を指す。CISA が示す緩和手順とベンダーの指示に従い、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。