Angriffe auf Cisco-Systeme Cisco im Visier des US-Senats

Anbieter zum Thema

Securepoint GmbH

WatchGuard Technologies GmbH

Nach zwei aktiv ausgenutzten Zero-Day-Schwachstellen in Cisco-Produkten fordert US-Senator Bill Cassidy Aufklärung vom Netzwerkanbieter. Er warnt vor Angriffen aus China, Russland und Iran und sieht eine Gefahr für die nationale Cybersicherheit der USA.

Der US-Senator Bill Cassidy, Vertreter des Bundesstaates Louisiana, hat sich infolge des Be­kannt­werdens von zwei aktiv ausgenutzten Sicherheitslücken mit Cisco in Verbindung gesetzt. In einem Brief an Chuck Robbins, Chair and Chief Executive Officer bei Cisco, äußerte Cassidy seine Besorgnis über die Zero-Day-Schwachstellen in den Cisco-Systemen. Diese würden eine ernsthafte Bedrohung der nationale Sicherheit der USA darstellen und könnten nahezu alle Bundesbehörden und Unternehmen des Landes betreffen. Zudem könnten die US-Daten feindlichen Akteuren wie China, Russland und dem Iran ausgesetzt sein.

Remote Code Execution

Cisco Firewalls bedroht durch CVSS-10-Schwachstelle

Sicherheitslücken bei Cisco

Vorangegangen an den Brief von Cassidy an Robbins war eine Sicherheitswarnung der Cyber­security & Infrastructure Security Agency (CISA) vom 25. September. Darin informierte die US-Behörde über die beiden aktiv ausgenutzten Sicherheitslücken CVE-2025-20333 (CVSS-Score 9.9) und CVE-2025-20362 (CVSS-Score 6.5) in Cisco Secure Firewall Threat Defense (FTD) und der Adaptive Security Appliance (ASA). FTD ist die Plattform von Cisco, die die Verwaltung von Next-Generation-Firewalls und Intrustion-Preventions-Systemen bündelt. Bei der ASA handelt es sich um die Firewall- und VPN-Plattform von Cisco, die den sicheren Remotezugriff ermög­licht. Eine weitere Sicherheitslücke – CVE-2025-20363 (CVSS-Score 9.9), die jedoch keine Zero-Day-Sicherheitslücke ist – betrifft neben ASA und FTD sogar die Cisco-Lösungen IOS, IOS XE und IOS XR.

• CVE-2025-20333: Ein authentifizierter Remote-Angreifer könnte bei erfolgreicher Aus­nutzung der Schwachstellen in der Lage sein, beliebigen Code auf einem betroffenen Gerät zu installieren. Grund für die Sicherheitslücken ist eine unzureichenden Validierung von Benutzereingaben in HTTP(S)-Anfragen.

• CVE-2025-20362: Bei erfolgreicher Ausnutzung dieser Sicherheitslücke könnte ein nicht authentifizierter Cyberangreifer aus der Ferne den Zugriff auf eingeschränkte URL-End­punkte erhalten, sofern diese mit einem Remote-Access-VPN in Verbindung stehen. Eigent­lich sollten diese End­punkte ohne Authentifzierung unzugänglich sein, doch aufgrund einer unzureichenden Validierung der Nutzereingaben in HTTP(S)-Anfragen, können Angreifer manipulierte Anfragen an einen Ziel-Websever betroffener Geräte senden.

• CVE-2025-20363: Ist ein Angreifer bei IOS, IOS XE oder IOS XR authentifiziert, kann er remote schon mit geringen Nutzerrechten beliebigen Code auf betroffenen Geräten aus­führen. Ist er nicht authentifziert, kann er ASA und FTD angreifen, um Schadecode einzu­schleusen. Auch hier liegt eine unsachgemäße Validierung von Benutzereingaben in HTTP-Anfragen als Grund für die Sicherheitslücke vor.

Beide Schwachstellen wurden von der CISA in ihren Katalog der bekannten und ausgenutzten Sicherheitslücken aufgenommen.

Die Bedrohung war sogar so akut, dass US-Behörden, die Cisco-Systeme im Einsatz haben, bis Ende des 26. Septembers betroffene Geräte von Bundessystemen zu trennen und einen Bericht an die CISA übermitteln mussten. Dieser musste auflisten, welche FTD- und ASA-Geräte sie in Betrieb haben und deren Speicherdaten enthalten. Ebenfalls am 25. September hatte das Natio­nal Cyber Security Center (NCSC) der Vereinigten Königreichs vor einer anhaltenden Malware-Kampagne gewarnt, die auf Cisco-Geräte abzielt.

IOS XE Wireless Controller

Cisco behebt maximal kritische Sicherheitslücke

Cassidy fordert Antworten von Cisco

Cassidy, der seit 2015 Senator für Louisiana ist, und sich dort vor allem auch für den Breitband­ausbau einsetzt, forderte in seinem Brief an Cisco den Hersteller dazu auf, auch mit anderen Beteiligten zusammenzuarbeiten, um die Sicherheitslücken zu beheben. Cassidy wies auf die zunehmende Bedrohung durch Angriffe feindlicher Akteure wie China, Russland und dem Iran hin. Als „weltweit größter Anbieter von Netzwerkinfrastruktur“ habe Cisco eine besondere Posi­tion inne, da das Unternehmen nicht nur der US-Bundesregierung, sondern praktisch allen Unternehmen Tools zur Verfügung stelle. Dem US-Senator zufolge gebe es bisher zwei Berichte, die darauf hindeuten würden, dass bereits mindestens eine Bundes­behörde durch Ausnutzung der jüngsten Sicherheitslücken angegriffen wurde.

Zudem forderte Cassidy den Cisco-CEO Robbins auf, ihm bis zum 27. Oktober 2025 folgende Fragen zu beantworten:

• 1. Hat Cisco konkrete Bedrohungen für einzelne Kunden identifiziert? Wenn ja, wie kommuniziert das Unternehmen die nächsten Schritte oder Sicherheitspatches?

• 2. Wie kommuniziert Cisco proaktiv mit Kunden, wenn Cisco mehr über die potenzielle Bedrohung erkennt?

• 3. Empfiehlt Cisco derzeit einzelnen Kunden, Geräte, deren Support eingestellt wurde, vom Netz zu trennen oder zu aktualisieren, wie es die CISA den Bundesbehörden am 25. September auferlegt hat?

• 4. Wie arbeitet Cisco mit bestimmten Bundesbehörden, darunter dem Bildungsministerium, dem Arbeitsministerium sowie dem Gesundheitsministerium zusammen, um betroffenen Einrichtungen branchenspezifische Dienstleistungen oder Unterstützung anzubieten?

• 5. Schätzungen zufolge beschäftigen 45 Prozent der Unternehmen in den USA keinen Chief Information Security Officer (CISO). Wie kommuniziert Cisco mit einzelnen Kunden, ins­besondere Gesundheitsdienstleistern, Schulen und kleinen Unternehmen, um sicher­zu­stellen, dass sie über aktuelle Informationen zur Behebung von Cybersicherheitslücken verfügen?

Welche Informationen gibt es bisher von Cisco?

Zu dem Brief von Cassidy hat Robbins noch keine öffentliche Stellung genommen. Allerdings hat der Hersteller einen Beitrag veröffentlicht, indem er informiert, dass er im Mai 2025 von mehreren US-Behörden, für die er Incident-Response-Services anbietet, beauftragt wurde, Cyberangriffe auf bestimmte ASA-Produkte zu untersuchen. Darin geht Cisco auch auf die Vor­gehensweisen der Angreifer ein und gibt erste Handlungsempfehlungen. Zeitgleich wurden für jede CVE-ID eigene Advisories veröffentlicht. Diese enthalten die Informationen zu Patches sowie Details dazu, welche Konfigurationen von FTD und ASA zu Problemen führen könnten.

Eine übersichtliche Liste der betroffenen Versionen sowie der gepatchten Versionen sowie ein FAQ liefert Tenable:

Daneben bietet Cisco seinen Kunden den Software Checker als Tool an, um damit alle Cisco-Sicherheitshinweise, die eine bestimmte Softwareversion betreffen, und entsprechende Patches einfacher zu finden.

Mit den veröffentlichten Informationen und Patches sind Cisco-Kunden grundsätzlich gut auf­gestellt, um ihre Systeme abzusichern. Vom Umfang her ähneln die aktuellen Warnungen den üblichen Sicherheitsmeldungen anderer Hersteller. Cassidys Forderung nach mehr Trans­pa­renz in der Kundenkommunikation bleibt jedoch nachvollziehbar, da Cisco mit den US-Bun­des­behörden einen enorm großen und sicherheitskritischen Auftraggeber betreut.

Patch für Unified CM verfügbar

Cisco wird fest kodierte Admin-Zugangsdaten nicht mehr los

(ID:50603166)