Cisco a publié un avertissement concernant deux vulnérabilités critiques de type zero-day dans le VPN Web Server de Cisco Secure Firewall Adaptive Security Appliance (ASA) Software et Cisco Secure Firewall Threat Defense (FTD) Software. Ces failles peuvent permettre à des attaquants d’accéder à des ressources restreintes ou d’exécuter du code arbitraire avec des privilèges « root ». 

Les détails des deux vulnérabilités sont les suivants : 

• CVE-2025-20333 (CVSS 9.9 – Critique) : Une faille de validation des entrées HTTP(S) permettant à un attaquant authentifié avec des identifiants VPN valides d’exécuter du code arbitraire en tant que « root » sur l’équipement ciblé. Une exploitation réussie peut entraîner la compromission totale du pare-feu.

• CVE-2025-20362 (CVSS 6.5 – Important) : Une autre faille de validation des entrées HTTP(S) pouvant permettre à un attaquant non authentifié d’accéder à des URL restreintes sans fournir d’identifiants, augmentant le risque d’accès non autorisé et facilitant des attaques combinées.

Cisco a confirmé que ces vulnérabilités sont activement exploitées et recommande vivement d’appliquer immédiatement les mises à jour correctives publiées.