CISA exige correção urgente em firewalls Cisco

A CISA publicou a Diretiva de Emergência 25-03 exigindo que agências federais norte-americanas corrijam falhas críticas exploradas em ataques zero-day contra dispositivos Cisco ASA (Adaptive Security Appliance) e FTD (Firewall Threat Defense). As vulnerabilidades, rastreadas como CVE-2025-20333 e CVE-2025-20362, permitem a execução remota de código sem autenticação e manipulação da memória ROM para garantir persistência mesmo após reinicializações e atualizações de sistema.

Leia também
Exploração ativa de zero-day no Chrome
Cadeia de suprimentos de IA exposta a execução remota de código

Segundo a agência, a campanha é generalizada e representa um risco significativo às redes afetadas. As agências do Federal Civilian Executive Branch (FCEB) devem identificar todos os appliances Cisco ASA e Firepower em uso, coletar evidências forenses, avaliar possíveis comprometimentos, desconectar dispositivos comprometidos e aplicar patches nos que não apresentarem sinais de atividade maliciosa até 26 de setembro, às 12h (EDT). Equipamentos em fim de suporte precisam ser desconectados permanentemente até 30 de setembro.

A Cisco confirmou que a falha CVE-2025-20333 pode ser explorada por atacantes autenticados para obter execução remota de código, enquanto a CVE-2025-20362 permite acesso não autenticado a endpoints restritos. Quando encadeadas, essas falhas oferecem controle total sobre dispositivos vulneráveis. Os ataques exploram técnicas avançadas, como desativação de logs, interceptação de comandos CLI e até a modificação do ROMMON, possibilitando persistência mesmo após atualizações.

As atividades foram associadas à campanha ArcaneDoor, que desde 2023 explora falhas zero-day em dispositivos ASA e FTD para comprometer redes governamentais em diversos países. O grupo de ameaça UAT4356, também conhecido como STORM-1849 pela Microsoft, já havia implantado os malwares Line Dancer e Line Runner para manter acesso em dispositivos comprometidos.

Além das correções para essas falhas, a Cisco lançou recentemente um patch para outra vulnerabilidade crítica (CVE-2025-20363) que permite execução remota de código em firewalls e no Cisco IOS, embora não haja evidências de exploração ativa até o momento.