CVE-2025-20362
Vulnerabilità di autorizzazione mancante in Cisco Secure Firewall Adaptive Security (ASA) Appliance e Secure Firewall Threat Defense (FTD)
- Pubblicato
- 25 set 2025
- Aggiornato
- 26 feb 2026
- Assegnazione CNA
- cisco
- Evidenza osservata
- 25 set 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:HAlto · prossimi 30 giorni
- Percentile
- 99,7%
- Data del modello
- 27 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
Aggiornamento: il 5 novembre 2025, Cisco è venuta a conoscenza di una nuova variante di attacco contro i dispositivi che eseguono versioni di Cisco Secure ASA Software o Cisco Secure FTD Software interessate da CVE-2025-20333 e CVE-2025-20362. Questo attacco può causare il riavvio imprevisto dei dispositivi non ancora aggiornati, portando a condizioni di denial of service (DoS). Cisco raccomanda vivamente a tutti i clienti di aggiornare alle versioni software corrette elencate nella sezione Fixed Software ["#fs"] di questo advisory. Una vulnerabilità nel server web VPN di Cisco Secure Firewall Adaptive Security Appliance (ASA) Software e Cisco Secure Firewall Threat Defense (FTD) Software potrebbe consentire a un attaccante remoto non autenticato di accedere a endpoint URL riservati relativi alla VPN di accesso remoto, che altrimenti sarebbero inaccessibili senza autenticazione. Questa vulnerabilità è dovuta a una convalida non corretta dell'input fornito dall'utente nelle richieste HTTP(S). Un attaccante potrebbe sfruttare questa vulnerabilità inviando richieste HTTP appositamente predisposte a un server web preso di mira su un dispositivo. Un exploit riuscito potrebbe consentire all'attaccante di accedere a un URL riservato senza autenticazione.
Fonti
http/cves/2025/CVE-2025-20362.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.