Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Read-Only Path Traversal Vulnerability

Falha de path traversal (CWE-20/22) na interface de serviços web do Cisco ASA e FTD, ligada aos recursos WebVPN e AnyConnect, que permite a um atacante não autenticado ler arquivos do sistema de arquivos de serviços web via requisições HTTP manipuladas. Importa porque é pré-autenticação, exposta na internet em qualquer dispositivo com VPN habilitada, tem exploração ativa confirmada e consta no catálogo KEV da CISA — mas o próprio fornecedor afirma que não dá acesso a arquivos de sistema, do OS subjacente, nem a credenciais de VPN.

A causa raiz é validação insuficiente das URLs em requisições HTTP processadas pelo componente de web services do ASA/FTD (CWE-20, improper input validation). O atacante controla o caminho solicitado e consegue inserir sequências de travessia de diretório para escapar do diretório esperado dentro do sistema de arquivos de web services — não do filesystem geral do dispositivo.

Esse sistema de arquivos de web services só existe quando o equipamento tem WebVPN ou AnyConnect habilitados: AnyConnect SSL VPN (webvpn enable), Clientless SSL VPN (webvpn enable) ou AnyConnect IKEv2 Remote Access com client services (crypto ikev2 enable client-services port). Sem uma dessas configurações ativas, o componente vulnerável nem é carregado.

O impacto de confidencialidade é alto (C:H no vetor CVSS) porque os arquivos expostos incluem configuração do WebVPN, bookmarks, cookies web e conteúdo/URLs parciais de páginas — dados suficientes, segundo a Cisco, para em cenários específicos permitir a um atacante impersonar outro usuário VPN e estabelecer uma sessão Clientless SSL VPN ou AnyConnect como essa vítima. Não há impacto de integridade ou disponibilidade reportado (I:N/A:N), e a Cisco confirma que credenciais de login VPN não são expostas por essa via.

Firepower Management Center (FMC) foi confirmado como não afetado — a falha está no plano de dados do ASA/FTD, não na plataforma de gerência.

O vetor é uma única requisição HTTP crafted contendo sequências de directory traversal enviada à interface de web services do dispositivo exposto — sem autenticação, sem interação do usuário, complexidade de ataque baixa (AV:N/AC:L/PR:N/UI:N). A única pré-condição real é a configuração: o dispositivo precisa ter WebVPN (Clientless SSL VPN ou AnyConnect SSL VPN) ou AnyConnect IKEv2 com client services habilitados — dispositivos ASA/FTD sem esses recursos não expõem a superfície vulnerável.

Houve código de exploração público disponível e exploração ativa em massa documentada logo após a divulgação em julho de 2020, incluindo casos de comprometimento em larga escala de dispositivos ASA expostos à internet. A CISA incluiu a CVE no catálogo KEV (adicionada em 2021-11-03), confirmando exploração real, não apenas teórica.

O resultado final para o atacante é leitura de arquivos dentro do sistema de arquivos de web services — não shell, não persistência no OS, não acesso a arquivos de configuração completa do ASA. O valor prático do ataque está em reconhecimento (configuração de VPN, bookmarks) e, conforme o próprio advisory, em cenários onde esses dados permitem sequestrar sessão de outro usuário VPN.

A Cisco não publicou workaround: a única correção é atualizar para uma versão corrigida de ASA ou FTD Software. O advisory oficial não workarounds e recomenda upgrade imediato. As fontes lidas não trazem a tabela completa de versões corrigidas por trem de release — consulte o Cisco Bug ID CSCvt03598 e o advisory cisco-sa-asaftd-ro-path-KJuQhB86 para a tabela específica da sua versão/plataforma antes de decidir o que instalar.

Como controle compensatório parcial, para quem usa decriptação SSL em sensores Firepower, a Cisco recomenda habilitar as regras Snort 54598 a 54601 (SRU 2020-07-22-001) via Firepower Management Center para detectar/bloquear tentativas de exploração — isso não corrige a falha, apenas dá visibilidade e pode bloquear padrões conhecidos de payload.

Desabilitar WebVPN/AnyConnect remove a superfície vulnerável, mas normalmente não é opção viável operacionalmente (é a função principal do dispositivo em muitos ambientes). Restringir exposição da interface de gerenciamento/VPN à internet reduz a superfície de ataque mas não elimina o risco se o serviço VPN em si precisa estar público.

Procure em logs do web services do ASA/FTD requisições HTTP com sequências de directory traversal (padrões de '../' ou variantes codificadas) direcionadas a caminhos do sistema de arquivos de web services. Em sensores Firepower com decriptação SSL habilitada, as regras Snort 54598–54601 (SRU 2020-07-22-001) foram publicadas especificamente para detectar/bloquear tentativas de exploração desta CVE — ambientes sem SSL decryption ativo não têm esse sinal disponível. Fora desse contexto, não há indicador de comprometimento genérico único; a análise depende de logs de acesso HTTP do próprio dispositivo, que precisam estar habilitados e retidos previamente ao incidente.