Cisco виправила активно експлуатовану вразливість VPN у ASA і FTD, що може призвести до збою брандмауерів

Cisco випустила виправлення для вразливості високого рівня небезпеки в програмному забезпеченні Secure Firewall Adaptive Security Appliance (ASA) та Secure Firewall Threat Defense (FTD). Вразливість, що відстежується як CVE-2026-76418 і має оцінку 8,6 за системою CVSS, експлуатувалася в реальних умовах. Успішна експлуатація може дозволити неавтентифікованому віддаленому зловмиснику спричинити несподіване перезавантаження ураженого пристрою, що призведе до відмови в обслуговуванні.

На що впливає вразливість

Проблема пов'язана зі службою Remote Access SSL VPN програмного забезпечення ASA і FTD. Cisco повідомила, що причиною є логічні помилки, коли в тунельній групі налаштовано вторинну автентифікацію. Зловмисник може експлуатувати її, надсилаючи спеціально сформований запит під час підключення до SSL VPN віддаленого доступу.

Умови впливу та пом'якшення

Пристрої уражуються, якщо вони працюють із вразливою версією, служба входу SSL VPN віддаленого доступу доступна, а вторинну автентифікацію налаштовано в межах тунельної групи. Cisco рекомендує перевірити всі тунельні групи, зокрема DefaultWEBVPNGroup, на наявність secondary-authentication-server-group. Як тимчасове пом'якшення клієнти можуть вимкнути список тунельних груп, якщо DefaultWEBVPNGroup не використовує вторинну автентифікацію, або вимкнути вторинну автентифікацію в уражених тунельних групах.

Виправлені версії

Виправлення доступні у випусках ASA Software 9.16.4.104 для 9.16 і раніших, 9.18.4.96 для 9.18, 9.20.4.50 для 9.20, 9.22.3.200 для 9.22, 9.23.1.48 для 9.23, а також 9.24.1.27 і 9.24.10.1 для 9.24; а також у випусках FTD Software 7.0.11 для 7.0 і раніших, 7.2.13 для 7.2, 7.4.9 для 7.4, 7.6.7 для 7.6, 7.7.14 для 7.7, 10.0.3 для 10.0 і 10.1.1 для 10.1.

Пов'язане розкриття Cisco

Cisco також повідомила, що складний постійний загрозовий суб'єкт, якого відстежують як UAT-11473, використав CVE-2026-20127, вразливість обходу автентифікації в екземплярах Cisco SD-WAN Catalyst Controller, щоб обійти автентифікацію й отримати несанкціонований доступ. Діяльність була спрямована на космічні та супутникові сервіси, оборонні та аерокосмічні технології, а також сектори дослідження політики, і, за оцінками, має перетин інфраструктури з прихованою мережею Silent Train угруповання Volt Typhoon. UAT-11473 встановив власну шкідливу програмну платформу, яку відстежують як KeyDrift, із компонентами, такими як PolyFlame і LittleFilch, щоб збирати конфіденційну ключову інформацію та забезпечувати постійний доступ.

Джерела: The Hacker News