Sió-Informatika Rendszerház

Egy speciálisan összeállított kapcsolódási kéréssel távolról újraindíthatók bizonyos Cisco tűzfalak. A támadónak ehhez nem kell sikeresen bejelentkeznie a VPN-be. A CVE-2026-76418 a Cisco Secure Firewall Adaptive Security Appliance (ASA) és a Secure Firewall Threat Defense (FTD) szoftver távoli hozzáférést biztosító SSL VPN-szolgáltatását érinti. A Cisco október 28-án tette közzé a hibáról szóló közleményét, miután termékbiztonsági csapata októberben tudomást szerzett a tényleges kihasználásról. A gyártó kiadta a javításokat. A Cisco hivatalos biztonsági közleménye.

A hongkongi HKCERT október 29-én magas kockázatú riasztást adott ki, és a gyártói frissítések telepítését javasolta. Ugyanezen a napon az amerikai CISA is felvette a hibát az ismerten kihasznált sérülékenységek katalógusába. A nyilvánosan dokumentált hatás szolgáltatásmegtagadás: az eszköz újraindul, ami megszakíthatja a rajta áthaladó kapcsolatokat. A közlemények ehhez a hibához nem társítanak kódfuttatást, adatlopást vagy tartós támadói hozzáférést. A HKCERT riasztása · A kanadai kiberbiztonsági központ frissített tájékoztatója

Hogyan érhető el a hiba hitelesítés nélkül?

A 8,6-os CVSS-pontszámú, magas súlyosságú hiba a VPN-kapcsolati profilokhoz (tunnel group) tartozó másodlagos hitelesítés feldolgozásában található. Az átjárónak a kapcsolódási kérés egy részét már azelőtt fel kell dolgoznia, hogy eldöntené, beengedheti-e a felhasználót. Egy erre a szakaszra célzott kérés a hibás programlogika miatt az egész eszköz váratlan újraindulását idézheti elő.

A VPN mögötti alkalmazások bejelentkezési követelménye ettől még érvényben marad. A támadónak azonban nem ezekhez az alkalmazásokhoz kell hozzáférnie: elég, ha eléri a sérülékeny átjáró bejelentkezési szolgáltatását. A Cisco nem nevezett meg elkövetőt vagy áldozatot, és a közleményben nem adott meg az ismert támadásokra jellemző egyedi azonosítókat. A Cisco leírása a hibáról és a kihasználásról

Mely VPN-konfigurációk érintettek?

Három körülményt kell együtt vizsgálni: sérülékeny ASA- vagy FTD-kiadás fut-e, elérhető-e az SSL VPN bejelentkezési szolgáltatása, és a releváns kapcsolati profilok valamelyike használ-e másodlagos hitelesítést. A futó konfigurációban először azt kell megállapítani, hogy a webvpn alatt legalább egy interfészen engedélyezett-e az SSL VPN. A profilok ellenőrzése ezután kétféleképpen folytatódik. A Cisco konfigurációs ellenőrzési útmutatója

Az eszközmodell vagy a szoftverág neve tehát önmagában nem dönti el az érintettséget. FTD esetén a Cisco a felügyeleti rendszerben telepített távoli hozzáférési szabályzat és az abból létrejött tényleges eszközkonfiguráció ellenőrzését is előírja. Egy előkészített, de még nem érvényesített módosítás nem változtatja meg a tűzfal működését.

Miért okozhat üzleti fennakadást egyetlen újraindulás?

Ha az alkalmazottak, a rendszergazdák vagy egy külső üzemeltető ugyanazon az átjárón érik el a belső rendszereket, egy újraindulás egyszerre szakíthat meg sok aktív munkamenetet. A helyreálláskor a kapcsolódási kísérletek és az ügyfélszolgálati bejelentések is megszaporodhatnak. Ha az eszköz a VPN mellett más hálózati feladatot is ellát, az érintett üzleti szolgáltatások köre a távoli felhasználókénál szélesebb lehet.

Ezek lehetséges következmények, nem a már észlelt támadások dokumentált üzleti hatásai. A kiesés mértékét az eszköz szerepe, a hálózati felépítés és a helyreállás ideje határozza meg. A tartalék tűzfal gyorsíthatja a helyreállást, de ha ugyanazt a sérülékeny szoftvert és konfigurációt használja, az átváltás után is érintett átjáró fogadhatja a kéréseket. A magas rendelkezésre állású pár mindkét tagját ellenőrizni kell.

Mely ASA- és FTD-kiadások tartalmazzák a javítást?

A Cisco az alábbi verziókat jelöli meg az adott ág első javított kiadásaként. Az FTD-táblázatban felsorolt verziók a gyártó közleményében javított kiadásként szerepelnek, nem tervezett megjelenési dátummal. A megfelelő frissítési cél kiválasztásánál az adott hardver támogatását és a kiinduló verzióhoz tartozó frissítési útvonalat is figyelembe kell venni. A Cisco javított kiadásainak hivatalos listája

Cisco Secure Firewall ASA

Cisco Secure Firewall Threat Defense

Frissítés után az eszközön kell ellenőrizni a futó verzió teljes azonosítóját. A működési próbába érdemes bevonni a felhasználók távoli bejelentkezését, a másodlagos hitelesítést, a naplózást és – ahol van tartalék eszköz – az átváltást is. Így az is kiderül, ha a javítás települt ugyan, de valamelyik kapcsolat vagy megfigyelési funkció nem állt helyre.

Az ideiglenes intézkedés gyengítheti a hitelesítést

A Cisco nem ad meg a szoftverjavítással egyenértékű kerülőmegoldást. Átmenetileg két konfigurációs lehetőséget ismertet, és a választást az alapértelmezett kapcsolati profil beállításához köti. A Cisco kockázatcsökkentési útmutatója

• Ha a DefaultWEBVPNGroup nem használ másodlagos hitelesítést, a kapcsolati profilok listájának kikapcsolása mérsékelheti a kitettséget. Ennek felhasználói következménye van: a csatlakozók nem választhatják ki a profiljukat a felkínált listából, hanem ismerniük kell a megfelelő profilt.
• Ha a DefaultWEBVPNGroup másodlagos hitelesítést használ, a lista kikapcsolása nem elég. A Cisco ebben az esetben a másodlagos hitelesítés eltávolítását írja le átmeneti lehetőségként, és kifejezetten figyelmeztet arra, hogy ezzel gyengül a távoli hozzáférés védelme.

A második intézkedés különösen gondos mérlegelést igényel: egy kiesési kockázat csökkentése közben a szervezet elhagyhat egy olyan ellenőrzést, amelyre a jogosulatlan belépés megakadályozásában támaszkodik. Ha átmeneti változtatásra van szükség, legyen kijelölt felelőse, rögzített üzleti hatása és határideje a kívánt hitelesítési beállítás visszaállítására. A gyártó elsődleges ajánlása a javított szoftver telepítése.

Az augusztusi VPN-hiba javítása nem feltétlenül elegendő

A Cisco augusztusban egy másik, szintén kihasznált SSL VPN-sérülékenységről számolt be. A CVE-2026-20349 esetében a HTTP-kérések feldolgozásakor végzett elégtelen hibaellenőrzés miatt lehetett bejelentkezés nélkül váratlan újraindulást előidézni. Az NHS England már az augusztusi figyelmeztetésében is felhívta a figyelmet az aktív kihasználásra, és a javítások telepítését kérte. Az NHS England augusztusi riasztása

A két hiba tünete hasonló, de a kiváltó ok és a szükséges javítás különbözik. Az ASA 9.20-as ágán a 9.20.4.49 már javította az augusztusi hibát, az októberi CVE-2026-76418 első javított kiadása viszont a 9.20.4.50. Egy korábban sikeresen lezárt frissítés tehát nem igazolja az új hiba elhárítását. Az októberi Cisco-közlemény verziótáblázata

Hogyan vizsgálható ki egy váratlan újraindulás?

A megmagyarázatlan VPN-kiesés vizsgálatát az újraindulás pontos időpontjával érdemes kezdeni. Ezt kell összevetni a kapcsolódási kísérletekkel, a hitelesítési eseményekkel, a konfigurációváltozásokkal és a tervezett karbantartásokkal. Mivel a hiba sikeres belépés nélkül is kiváltható, a sikeres VPN-bejelentkezések listája önmagában nem elegendő.

Egy újraindulás még érintett konfiguráció mellett sem bizonyít támadást: hardverhiba, más szoftverprobléma vagy rendszergazdai művelet is járhat azonos tünettel. Ugyanakkor a VPN elérhetőségének helyreállása nem magyarázza meg, mi idézte elő a kiesést.

A brit Nemzeti Kiberbiztonsági Központ hálózati eszközökre vonatkozó útmutatója ezért a hitelesítési rekordok mellett a szolgáltatási események, a konfigurációváltozások, valamint a diagnosztikai és helyreállítási események naplózását is ajánlja. A külön rendszerbe továbbított naplók, az egységes időbélyegek és a biztonsági elemzőeszközök által feldolgozható formátumok együttesen segítenek rekonstruálni, mi történt közvetlenül a kiesés előtt. A brit NCSC útmutatója a hálózati eszközök naplózásához és incidensvizsgálatához

A hálózat peremén a frissítés mellett az elérhetőség is számít

A CISA, az FBI, az NSA és nemzetközi partnereik közös útmutatója az adminisztrációs hozzáférés védelmét, a VPN elérhetőségének lehetőség szerinti korlátozását, a nem használt VPN-funkciók kikapcsolását és a hálózat szegmentálását ajánlja. Ezek az intézkedések általában is csökkentik a hálózatperemi eszközök kitettségét, de a CVE-2026-76418 szoftverjavítását nem helyettesítik. Közös hatósági útmutató a kommunikációs infrastruktúra védelméhez

Ennél a hibánál az üzemeltetés akkor tekintheti lezártnak a javítást, ha az aktív és tartalék átjárókról egyaránt meg tudja mondani, melyik kiadás fut rajtuk, mely kapcsolati profilok érhetők el, és működik-e az előírt hitelesítés. A korábban bekövetkezett, megmagyarázatlan újraindulásokat ettől külön, a megőrzött naplók alapján kell kivizsgálni.

Eredeti cím: Cisco Warns of Exploited Firewall Flaw That Lets Attackers Crash SSL VPN Devices