Cisco Secure Firewall ASA/FTD: Denial of Service im Remote Access SSL VPN

Zusammenfassung

Cisco Secure Firewall ASA und FTD Software enthalten einen Logikfehler im Remote Access SSL VPN Dienst, der ausgelöst wird, wenn auf einer Tunnelgruppe eine Sekundärauthentifizierung konfiguriert ist. Ein nicht authentifizierter Angreifer aus dem Netz kann eine manipulierte Anfrage beim Verbindungsaufbau zum SSL VPN senden und damit einen unerwarteten Neustart des Geräts auslösen, was zu einem Denial of Service führt. Cisco meldet aktive Ausnutzung, und die CISA hat die CVE in ihren Katalog bekannt ausgenutzter Schwachstellen (KEV) aufgenommen. Die Auswirkung beschränkt sich auf die Verfügbarkeit; eine Beeinträchtigung der Vertraulichkeit oder Integrität wird nicht angegeben.

Betroffen

• Cisco Secure Firewall ASA Software (mehrere Versionen 9.16.x und 9.18.x gemäss Cisco-Advisory)
• Cisco Secure Firewall Threat Defense (FTD) Software (mehrere Versionen 7.0.x, 7.2.x und spätere gemäss Cisco-Advisory)
• Geräte sind nur betroffen, wenn das SSL Remote Access VPN aktiviert ist (webvpn, enable auf mindestens einer Schnittstelle) und eine Sekundärauthentifizierung auf einer Tunnelgruppe konfiguriert ist (einschliesslich DefaultWEBVPNGroup).
• Gemäss Cisco nicht betroffen: Cloud-delivered Firewall, Cloud-delivered FMC, Secure Access, Secure FMC Software.

Behoben in

Cisco hat Software-Updates für die betroffenen Versionen veröffentlicht. Die genauen korrigierten Versionen sind im Abschnitt Fixed Software des Cisco-Advisory aufgeführt und wurden für diesen Eintrag nicht verifiziert. Unbekannt.

Umgehung

Das Cisco-Advisory gibt an, dass keine Workarounds verfügbar sind, beschreibt aber eine Massnahme:

• Falls DefaultWEBVPNGroup keine Sekundärauthentifizierung verwendet, 'no tunnel-group-list enable' im WebVPN-Konfigurationsmodus ausführen. Benutzer müssen dann das richtige Verbindungsprofil kennen.
• Falls DefaultWEBVPNGroup eine Sekundärauthentifizierung verwendet, diese mit 'no secondary-authentication-server-group' entfernen.
• Cisco betrachtet Massnahmen als temporär; sie können das Sicherheitsniveau des VPN senken.

Ausnutzung

• Das Cisco PSIRT wurde im Oktober 2026 auf aktive Ausnutzung aufmerksam (vom Hersteller bestätigt).
• Die CISA hat die CVE am 2026-10-29 in den KEV-Katalog aufgenommen; die Frist für Bundesbehörden endet am 2026-11-01.
• Verwendung in Ransomware-Kampagnen: Unbekannt.
• Indicators of Compromise: Unbekannt.
• Öffentlicher Exploit-Code: Von einem Tracker nicht gefunden (nicht verifiziert).

Unsere Empfehlung

• Prüfen, ob das SSL VPN aktiviert ist und ob auf einer Tunnelgruppe, einschliesslich DefaultWEBVPNGroup, eine Sekundärauthentifizierung konfiguriert ist.
• Betroffene ASA- und FTD-Geräte auf eine korrigierte Version aus dem Cisco-Advisory oder dem Cisco Software Checker aktualisieren. Dies dringend behandeln, da aktive Ausnutzung bekannt ist.
• Falls ein sofortiges Patchen nicht möglich ist, die Cisco-Massnahme anwenden und das reduzierte Sicherheitsniveau des VPN als temporäre Massnahme akzeptieren.
• Auf unerwartete Neustarts und Probleme bei der VPN-Verfügbarkeit achten sowie Logs auf manipulierte SSL-VPN-Verbindungsversuche prüfen.
• Die Erreichbarkeit des SSL-VPN-Login-Dienstes soweit möglich einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry www.cisa.gov
• CISA alert: KEV additions 2026-10-29 www.cisa.gov
• The Hacker News: Cisco patches actively exploited ASA flaw thehackernews.com
• GBHackers: Cisco patches actively exploited SSL VPN vulnerability gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:37.