Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense のバッファオーバーフローの脆弱性（CVE-2025-20333）

何が起きた

Cisco Secure Firewall Adaptive Security Appliance（ASA）と Secure Firewall Threat Defense（FTD）のソフトウェアの VPN Web サーバーに、送られてきた HTTP(S) の要求を正しく確かめないことによるバッファオーバーフローの弱点が見つかりました。正しい VPN 利用者の ID とパスワードを持つ攻撃者が細工した要求を送ると、root（最も強い権限）で任意のプログラムを実行でき、機器が完全に乗っ取られる可能性があります。NVD の評価では、ネットワーク経由で、一般利用者程度の権限があれば、利用者の操作なしで悪用できるとされています。実際に悪用が確認されており、CVE-2025-20362 と組み合わせて悪用される可能性があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco Secure Firewall ASA Software または Cisco Secure FTD Software の影響を受けるリリースを使い、SSL VPN や AnyConnect IKEv2 Remote Access（client services 付き）などのリモートアクセス VPN 機能を有効にしている組織が対象です。どのリリースが影響を受けるかは、Cisco の勧告の Fixed Software の欄や Cisco Software Checker で確かめる必要があります。Cisco Secure FMC Software は影響を受けないとされています。

何をすればいい

Cisco は回避策はないとしており、修正済みのソフトウェアに更新するよう強く勧めています。使っているリリースの修正版は、Cisco Software Checker で調べられます。サポートが終わっている一部の ASA 5500-X Series の機種で 9.12 や 9.14 を使っている場合は、9.12.4.72 または 9.14.4.28 を使うよう案内されています。詳しくは公式の案内を確認してください。

やることチェックリスト

• Cisco Software Checker で修正版を調べる
• ASA や FTD を修正済みのリリースに更新する
• 古い ASA 5500-X は 9.12.4.72 か 9.14.4.28 にする

用語メモ

バッファオーバーフロー

決められた大きさのメモリーの入れ物に、入りきらないデータを書き込ませる問題です。悪用されると、攻撃者のプログラムを動かされることがあります。

root

その機器の中で、何でもできる最も強い管理者の権限です。

VPN

インターネット上に暗号化された専用の通り道を作り、離れた場所から社内のネットワークに安全につなぐ仕組みです。

Cisco Software Checker

Cisco が提供する、使っているソフトウェアのリリースに影響する脆弱性と修正版を調べるための道具です。