Kritisk sårbarhed i Cisco Secure Firewall Management Center

Cisco har rettet flere sårbarheder, hvoraf den mest kritiske har en CVSS-score 10.0. Den findes i Secure Firewall Management Center (FMC), og kan ved udnyttelse anvendes til fjernkodeeksekvering uden autentificering.  Det skriver Security Affairs og en række andre medier.

Sårbarheden har id’et EUVD-2025-24840 / CVE-2025-20265 og en EPSS-score på 0,48 pct.  

Fejlen skyldes manglende inputvalidering under autentificering via RADIUS. Når en angriber sender specialfremstillede legitimationsoplysninger til FMC’s web- eller SSH-grænseflade, kan disse indeholde shell-metategn, som ikke neutraliseres korrekt. Kommandoerne udføres derefter af systemet med root-rettigheder.

Sårbarheden har CWE-typenummeret CWE-74, der karakteriserer den som ”Improper Neutralization of Special Elements in Output Used by a Downstream Component”. Den kræver som sagt kun netværksadgang til den sårbare grænseflade – ikke gyldige brugeroplysninger. De berørte versioner er Cisco Secure FMC Software versioner 7.0.7 og 7.7.0, hvis RADIUS-autentificering er aktiveret. 

Cisco har frigivet opdateringer, som adresserer sårbarheden. Der findes ingen workaround, men da sårbarheden kun er aktiv ved brug af RADIUS, kan midlertidig afhjælpning ske ved at skifte til hhv. lokal autentificering, LDAP og/eller SAML SSO.

Opdaget internt – ikke kendt udnyttet pt. 

Security Affairs skriver, at sårbarheden blev opdaget internt af Cisco-researcher og er ikke kendt udnyttet in-the-wild. Men muligheden for at det kan ske, vurderes som høj, da FMC ofte anvendes i kritiske netværk. Eksperter peger på, at denne type fejl – manglende inputvalidering – har været et tilbagevendende problem i Ciscos sikkerhedsprodukter. 

Det anbefales at installere den nyeste opdatering hurtigst muligt. Det anbefales også, at organisationer vurderer konsekvenserne af et skifte i autentificeringsmetode i forhold til deres miljø. 

Seks sårbarheder påvirker andre produkter

Der er også registreret seks andre sårbarheder i CISCO-produkter, som alle har en CVSS-score på 8,6.  

De påvirkede produkter er hhv. Cisco IOS Software, Cisco IOS XE Software, Cisco Secure Firewall Adaptive Security Appliance Software og Cisco Secure Firewall Threat Defense Software. Disse produkter er berørte, hvis de har IKEv2 VPN-funktionen aktiveret.

Andre Cisco-produkter som ASA og FTD er ikke påvirket, fremgår det.