Trusted Design

CVE-2025-20333 の詳細

CVEの情報

説明:
A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an authenticated, remote attacker to execute arbitrary code on an affected device. This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker with valid VPN user credentials could exploit this vulnerability by sending crafted HTTP requests to an affected device. A successful exploit could allow the attacker to execute arbitrary code as root, possibly resulting in the complete compromise of the affected device.

CVE更新日: 2025-09-25 16:15:32.073000

CVSSバージョン: 3.1

CVSSスコア: 9.9

KEVの情報

KEV更新日: 2025-09-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.712070000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-20333に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-20333は、Cisco Secure Firewall Adaptive Security Appliance（ASA）ソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアのVPNウェブサーバーに存在する深刻なバッファオーバーフロー（CWE-120）の脆弱性です。 この脆弱性は、認証されたリモートの攻撃者が、影響を受けるデバイス上でroot権限で任意のコードを実行することを可能にします。 本脆弱性は、Cisco TACサポートケースの解決中に発見され、既にゼロデイ脆弱性として悪用されていることが確認されています。

1.1 影響

本脆弱性が悪用されると、攻撃者はroot権限で任意のコードを実行でき、デバイスの完全な侵害、マルウェアのインストール、任意のコマンド実行、および情報の窃取につながる可能性があります。 特に、Secure Bootをサポートしない古いASA 5500-Xシリーズハードウェア（5512-X、5515-X、5525-X、5545-X、5555-X）では、再起動やソフトウェアアップグレード後も持続する永続的な感染を確立される可能性があります。

1.2 深刻度

CVE-2025-20333のCVSS v3.1ベーススコアは9.9であり、深刻度は「Critical（緊急）」に分類されています。

2. 対象となる環境

本脆弱性は、Cisco Secure Firewall Adaptive Security Appliance（ASA）ソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアに影響を与えます。

2.1 影響を受けるOSバージョン

Cisco ASA Software: * 9.12から9.22までの複数のバージョン。具体的には、9.16.4.85以前、9.17以前、9.18.4.67以前、9.19以前、9.20.4.10以前、9.22.2.14以前、9.23.1.19以前のバージョン。 * 9.14.4.28より前の9.14系バージョン。 * 9.16.4.85より前の9.16系バージョン。 * 9.17.1.45より前の9.17系バージョン。 * 9.18.4.67より前の9.18系バージョン。 * 9.19.1.42より前の9.19系バージョン。 * 9.20.4.10より前の9.20系バージョン。 * 9.22.2.14より前の9.22系バージョン。

Cisco FTD Software: * 7.0から7.6までの複数のバージョン。具体的には、7.0.8.1以前、7.1以前、7.2.10.2以前、7.3以前、7.4.2.4以前、7.6.2.1以前、7.7.10.1以前のバージョン。 * 7.3のすべてのバージョン。 * 7.4.2.4より前の7.4系バージョン。 * 7.6.2.1より前の7.6系バージョン。 * 7.7.10.1より前の7.7系バージョン。

2.2 影響を受ける設定

VPNウェブサーバーコンポーネントが有効になっている製品が影響を受けます。特に、VPNサービスが有効でインターネットに公開されている機器が悪用される可能性が高いとされています。 Secure Boot機能がない古いCisco ASA 5500-Xシリーズハードウェア（5512-X、5515-X、5525-X、5545-X、5555-X）は、永続化メカニズムに対して特に脆弱です。

3. 影響を受けた時の兆候

  • Secure Bootに非対応のCisco ASA 5500-Xシリーズの場合、パッチ適用済みのバージョンで起動した際にROMMONが自動的にチェックされ、検出された永続化メカニズムが削除されるとdisk0にfirmware_update.logファイルが書き込まれます。
  • 「FIRESTARTER」と呼ばれるバックドアがインストールされる可能性があります。このバックドアは、デバイスの起動設定（CSP_MOUNT_LIST）を書き換え、OSの正規の終了信号（再起動コマンドなど）を受け取ると自身を復元し、再起動後に「LINAプロセス」に悪意のあるコードを注入して実行し、証拠隠滅のためにディスク上の実行ファイルを削除する永続化メカニズムを備えています。このバックドアは、ログや振る舞いの異常がほとんど観測されず、一般的な監視・検知手法では発見が困難です。
  • lina_csプロセスの検出。show kernel process | include lina_csコマンドを使用してこのプロセスを確認できますが、プロセス名は設計により変更される可能性があります。
  • パッチが適用されていないデバイスで、予期しないリロードが発生し、サービス拒否（DoS）状態に陥る可能性があります。
  • Ciscoは、継続的な攻撃を検出するためのガイドを提供しています。

4. 推奨対策

4.1 本対策

  • Ciscoが提供する修正済みソフトウェアバージョンへ、速やかにアップデートすることを強く推奨します。
    • Cisco ASA Softwareの修正済みバージョン: 9.16.4.92、9.18.4.135、9.20.4.30、9.22.3.5、9.23.1.195、9.24.1.155。
    • Cisco FTD Softwareの修正済みバージョン: 7.0.9、7.2.11、7.4.7、7.6.4、7.7.11、10.0.0。
  • もし侵害が疑われるまたは確認された場合は、デバイスの再イメージ化（初期化と再構築）を行い、その後、最新の修正済みバージョンまたはホットフィックスを適用することが推奨されます。また、すべての設定（ローカルパスワード、証明書、鍵など）のリセットも推奨されます。

4.2 暫定回避策（緩和策）

この脆弱性に対処する完全な回避策は提供されていません。 ただし、本脆弱性はVPNサービスに影響を与えるため、グローバルコンフィギュレーションモードでno webvpnコマンドを実行してすべてのVPNサービスを無効化することで軽減可能です。 ただし、これにより正当なVPN機能が利用できなくなる点に注意が必要です。

その他解説すべき観点

  • 実際の悪用: CVE-2025-20333とCVE-2025-20362は、ゼロデイ脆弱性として実際に悪用されていることが確認されています。
  • 攻撃者: 悪意のある活動は、ArcaneDoorキャンペーンの背後にいるのと同じ脅威アクターであるUAT4356（別名Storm-1849）に関連付けられています。
  • 他のCVEとの連携: CVE-2025-20333は、通常、同じVPNウェブサーバーの認証なしアクセス脆弱性であるCVE-2025-20362と組み合わせて悪用され、認証なしで認証前のエクスプロイトを達成します。
  • 永続化メカニズム: パッチを適用した後でも、デバイスがパッチ適用前に侵害されていた場合、永続化メカニズム（FIRESTARTERのようなマルウェア）が残存している可能性があります。このマルウェアは検出が困難であるように設計されています。
  • CISA緊急指令: 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、連邦政府機関に対して即時の緩和措置を義務付ける緊急指令（ED）25-03を発令しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る