CVE-2025-20333criticalbajo ataqueCWE-120

CVE-2025-20333: fallo crítico en Cisco Secure Firewall Adaptive Security…

Publicada el · Actualizada el

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.9epss 71%
de la publicación al arma233 días
Publicada en NVD25 sept
1ª PoC+233d
CISA KEV25 sept
probabilidad de explotación
71%top 1% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-09-26

The KEV due date refers to the deadline by which FCEB agencies are expected to review and begin implementing the guidance outlined in Emergency Directive (ED) 25-03 (URL listed below in Notes). Agencies must follow the mitigation steps provided by CISA (URL listed below in Notes) and vendor’s instructions (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.

En resumen

Una falla en el servidor web VPN del Cisco Secure Firewall no valida correctamente los datos enviados por los usuarios, permitiendo que alguien con credenciales VPN válidas envíe solicitudes maliciosas y ejecute cualquier código con privilegios de administrador en el dispositivo.

Detalle técnico

Vulnerabilidad de validación inadecuada de entrada (CWE-120) en el servidor web VPN de Cisco ASA y FTD permite que atacantes autenticados remotamente ejecuten código arbitrario con privilegios root mediante solicitudes HTTP(S) manipuladas. Requiere credenciales VPN válidas y resulta en compromiso completo del dispositivo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an authenticated, remote attacker to execute arbitrary code on an affected device. This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker with valid VPN user credentials could exploit this vulnerability by sending crafted HTTP requests to an affected device. A successful exploit could allow the attacker to execute arbitrary code as root, possibly resulting in the complete compromise of the affected device.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Cisco · Cisco Secure Firewall Adaptive Security Appliance (ASA) SoftwareCisco · Cisco Secure Firewall Threat Defense (FTD) Software
PoCs públicas encontradas — 2
githubgithub.com/curtishoughton/Cisco-ASA-CVE-2025-20333-Scanner★ 0vulncheckvulncheck.com/xdb/0484a4111572no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Cisco Secure Firewall Adaptive Security…

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-20362MEDIUMCVE-2025-20362EPSS 87.1%KEVCVE-2026-20349HIGHCisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Denial of Service VulnerabilityEPSS 1.0%KEVCVE-2024-20358MEDIUMCVE-2024-20358EPSS 0.7%CVE-2026-20026MEDIUMMultiple Cisco Products Snort 3 DCERPC VulnerabilitiesEPSS 0.7%CVE-2026-20099MEDIUMCisco UCS Manager and FXOS Software Command Injection VulnerabilityEPSS 0.7%CVE-2026-20027MEDIUMCisco Snort DCERPC Stub Data Out of Bounds ReadEPSS 0.6%
Referencias
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUBhttps://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_continued_attackshttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-20333