Trusted DesignCVE-2025-20362 の詳細
CVEの情報
説明:
Update: On November 5, 2025, Cisco became aware of a new attack variant against devices running Cisco Secure ASA Software or Cisco Secure FTD Software releases that are affected by CVE-2025-20333 and CVE-2025-20362. This attack can cause unpatched devices to unexpectedly reload, leading to denial of service (DoS) conditions. Cisco strongly recommends that all customers upgrade to the fixed software releases that are listed in the Fixed Software ["#fs"] section of this advisory.
A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to access restricted URL endpoints that are related to remote access VPN that should otherwise be inaccessible without authentication.
This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker could exploit this vulnerability by sending crafted HTTP requests to a targeted web server on a device. A successful exploit could allow the attacker to access a restricted URL without authentication.
CVE更新日: 2025-09-25 16:15:32.280000
CVSSバージョン: 3.1
CVSSスコア: 6.5
KEVの情報
KEV更新日: 2025-09-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.870850000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: True
CVE-2025-20362に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2025-20362は、Cisco Secure Firewall Adaptive Security Appliance (ASA) SoftwareおよびCisco Secure Firewall Threat Defense (FTD) SoftwareのVPNウェブサーバーにおける認証回避の脆弱性です。これは、CWE-862（認証不足）またはパストラバーサルによる認証バイパスとして分類されます。攻撃者は認証されていない状態で、リモートからVPN関連の制限されたURLエンドポイントにアクセスすることが可能になります。この脆弱性は、HTTP(S)リクエストにおけるユーザー提供入力の不適切な検証に起因します。
通常、この脆弱性はCVE-2025-20333（CVSS 9.9の重大なRCE脆弱性）と組み合わせて悪用され、デバイスの完全な侵害を達成します。
1.1 影響
1.2 深刻度
この脆弱性単体では認証バイパスですが、CVE-2025-20333と組み合わせることで、CVSSスコア9.9の重大なリモートコード実行につながります。 本脆弱性は、ゼロデイ攻撃として実際に悪用されており、2025年9月25日にはCISAの既知の悪用されている脆弱性（KEV）カタログに追加され、CISAは連邦機関にED 25-03緊急指令を発令しました。 これは、この脆弱性の深刻度と緊急性が非常に高いことを示しています。EPSSスコアは約0.81%です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Cisco Secure Firewall Adaptive Security Appliance (ASA) SoftwareおよびCisco Secure Firewall Threat Defense (FTD) Software。 具体的な影響を受けるバージョンについては、Ciscoの公式アドバイザリを参照してください。例として、ASAvバージョン9.16.4.71（2024年9月24日リリース）が脆弱であることが示されています。
2.2 影響を受ける設定
以下のいずれかの設定が有効になっている場合に、脆弱性が悪用される可能性があります。 * AnyConnect IKEv2 Remote Access with client services (
crypto ikev2 enable client-services port) * Mobile User Security (MUS) * SSL VPN (webvpn enable) 特に、クライアントレスVPN機能（WebVPN）が有効になっている場合に脆弱性が存在します。3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
Ciscoの公式アドバイザリに記載されている修正済みのソフトウェアリリースにアップグレードすることが強く推奨されます。
4.2 暫定回避策（緩和策）
検索結果には明確な「暫定回避策」は記載されていませんが、恒久的な対策が適用されるまでの間、影響を受けるVPN機能（AnyConnect IKEv2 Remote Access with client services, Mobile User Security (MUS), SSL VPN (
webvpn enable)) を一時的に無効にする、またはアクセスを制限することが検討されます。しかし、最も効果的な対策は、Ciscoが提供する修正済みソフトウェアへのアップグレードです。参照したサイト
その他解説すべき観点