Am 25.09.2025 hat der Hersteller Cisco Details zu drei kritischen Sicherheitslücken bekannt gegeben. Zwei der Schwachstellen in Cisco Adaptive Security Appliances (ASA) sorgen weltweit für Alarm. Die US-Cybersicherheitsbehörde CISA hat sogar eine Notfallanweisung (ED-25-03) erlassen: Alle betroffenen Systeme mussten bis spätestens Freitagabend gepatcht werden.
Was ist passiert?
Die Schwachstellen CVE-2025-20333 und CVE-2025-20362 werden bereits aktiv ausgenutzt. Besonders gefährlich: Angreifer können dauerhaften Zugriff auf Netzwerke erlangen, selbst nach Neustarts oder Updates. Betroffen sind vor allem ältere ASA 5500-X Geräte, deren Support teilweise schon abgelaufen ist.
Cisco empfiehlt dringend die sofortige Installation der Sicherheitsupdates, die Prüfung aller Systeme auf Kompromittierung sowie den Austausch aller Passwörter, Zertifikate und Schlüssel nach dem Update. Unternehmen und Behörden sollten keine Zeit verlieren: Wer noch ungepatchte Cisco-Geräte im Einsatz hat, riskiert nicht nur Datenverlust, sondern auch langfristige Netzwerkinfiltration durch hochprofessionelle Angreifer.
Ausmaß weltweit und in Deutschland
Laut Messungen von Mint Secure sind weltweit ca. 75.000 Systeme betroffen und aus dem Internet erreichbar. In Deutschland sind ca. 700 Systeme betroffen und aus dem Internet erreichbar.
Die drei Schwachstellen im Überblick
CVE-2025-20333: VPN Web Server Remote Code Execution (ASA/FTD)
Eine Sicherheitslücke im VPN-Webserver der Cisco Secure Firewall ASA Software und der Cisco Secure Firewall Threat Defense (FTD) Software könnte es einem authentifizierten, entfernten Angreifer ermöglichen, beliebigen Code auf einem betroffenen Gerät auszuführen. Ursache ist eine unzureichende Validierung von benutzerseitig bereitgestellten Eingaben in HTTP(S)-Anfragen. Ein Angreifer mit gültigen VPN-Benutzerdaten kann die Lücke durch speziell präparierte HTTP-Anfragen ausnutzen und dadurch beliebigen Code mit Root-Rechten ausführen, was zur vollständigen Kompromittierung des Geräts führen kann. Cisco hat Software-Updates veröffentlicht, es gibt keine Workarounds. Sicherheitsmeldung: cisco-sa-asaftd-webvpn-z5xP8EUB.
CVE-2025-20352: SNMP Denial of Service und Remote Code Execution (IOS/IOS XE)
Eine Schwachstelle im SNMP-Subsystem der Cisco IOS Software und der Cisco IOS XE Software, verursacht durch eine Stack-Overflow-Bedingung, betrifft alle SNMP-Versionen. Ein authentifizierter, entfernter Angreifer mit niedrigen Rechten kann über einen SNMPv2c- oder älteren Read-Only-Community-String beziehungsweise gültige SNMPv3-Anmeldeinformationen eine Denial-of-Service-Bedingung auslösen. Ein Angreifer mit hohen Rechten und administrativen oder Privilege-15-Berechtigungen kann auf Geräten mit Cisco IOS XE Software beliebigen Code als Root-Benutzer ausführen. Ausgenutzt wird die Lücke über ein speziell präpariertes SNMP-Paket via IPv4 oder IPv6. Cisco hat Updates veröffentlicht, ein vollständiger Workaround existiert nicht, eine Mitigation ist jedoch verfügbar. Sicherheitsmeldung: cisco-sa-snmp-x4LPhte.
CVE-2025-20362: VPN Web Server Unauthorized Access (ASA/FTD)
Eine Sicherheitslücke im VPN-Webserver der Cisco Secure Firewall ASA Software und der Cisco Secure Firewall Threat Defense (FTD) Software könnte es einem nicht authentifizierten, entfernten Angreifer ermöglichen, auf eingeschränkte URL-Endpunkte zuzugreifen, die eigentlich eine Authentifizierung erfordern sollten. Ursache ist erneut eine unzureichende Validierung von benutzerseitig bereitgestellten Eingaben in HTTP(S)-Anfragen. Cisco hat Software-Updates veröffentlicht, es gibt keine Workarounds. Sicherheitsmeldung: cisco-sa-asaftd-webvpn-YROOTUW.
Empfohlene Sofortmaßnahmen
-
Sofort patchen: Alle betroffenen ASA-, FTD-, IOS- und IOS-XE-Systeme umgehend auf die gefixten Versionen aktualisieren.
-
Kompromittierung prüfen: Alle Systeme auf Anzeichen einer Kompromittierung untersuchen, auch nach dem Patchen.
-
Zugangsdaten erneuern: Passwörter, Zertifikate und Schlüssel nach dem Update konsequent austauschen.
-
End-of-Support-Geräte identifizieren: Ältere ASA 5500-X Geräte ohne Herstellersupport priorisiert ersetzen oder isolieren.
Mint Secure GmbH
Wie Mint Secure euch dabei unterstützt
Verteidiger sollten zeitnah handeln und Gegenmaßnahmen einleiten. Es handelt sich um Zero-Day-Exploits, die von professionellen Angreifern ausgenutzt werden.
Incident Response
Wir unterstützen bei Verdacht auf Kompromittierung eurer Cisco-Systeme mit schneller Analyse und Eindämmung.
Vulnerability Management
Wir helfen, betroffene Systeme zu identifizieren und Patches priorisiert umzusetzen.
Forensik
Wir klären auf, ob und wie eure Systeme bereits kompromittiert wurden, und dokumentieren die Ergebnisse gerichtsfest.
Fazit
Mit CVE-2025-20352, CVE-2025-20333 und CVE-2025-20362 hat Cisco drei kritische Schwachstellen offengelegt, von denen zwei bereits aktiv als Zero-Day ausgenutzt werden und weltweit rund 75.000 sowie in Deutschland rund 700 erreichbare Systeme betreffen.
Wer betroffene Cisco ASA-, FTD-, IOS- oder IOS-XE-Systeme betreibt, sollte umgehend patchen, auf Kompromittierung prüfen und alle Zugangsdaten erneuern, bevor Angreifer dauerhaften Zugriff sichern.
Mint Secure berät im Bereich Incident Response und Forensik, um weitere Schäden abzuwenden und Angriffe aufzuklären. Sprecht uns an.
