Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Interface Cross-Site Scripting Vulnerabilities

Falha de cross-site scripting (XSS) refletido na interface web services do Cisco ASA e do Firepower Threat Defense (FTD), que permite a um atacante remoto não autenticado executar script arbitrário no navegador de um usuário da interface, desde que ele seja induzido a clicar em um link malicioso. O CVSS 6.1 parece modesto, mas a CISA confirmou exploração ativa e existe PoC pública — e a falha só afeta dispositivos com configurações específicas de VPN (AnyConnect ou WebVPN) habilitadas, não todo ASA/FTD.

A causa é CWE-79 (Cross-Site Scripting): a interface web services do ASA/FTD não valida corretamente parâmetros fornecidos pelo usuário antes de refletir esse conteúdo na resposta HTTP, permitindo injeção de HTML/JavaScript. O advisory da Cisco (cisco-sa-asaftd-xss-multiple) agrupa quatro CVEs relacionados (CVE-2020-3580 a 3583) descobertos na mesma superfície — a interface web usada pelas funcionalidades de VPN do dispositivo.

O ponto crítico é que a vulnerabilidade não existe em qualquer ASA/FTD exposto: ela só se manifesta quando o dispositivo tem uma das seguintes features configuradas e habilitadas via CLI: AnyConnect IKEv2 Remote Access com client services (`crypto ikev2 enable ... client-services port`), AnyConnect SSL VPN ou Clientless SSL VPN (`webvpn enable`). No FTD, a exposição depende de Remote Access VPN habilitado via Firepower Management Center ou Firepower Device Manager, e essas features só existem a partir do FTD 6.2.2. A Cisco confirmou explicitamente que o Firepower Management Center (FMC) não é afetado.

Como o ataque depende de interação do usuário (UI:R no vetor CVSS) e o escopo muda (S:C), o atacante não compromete o dispositivo diretamente: ele injeta script que roda no contexto do navegador da vítima quando ela acessa a interface web services através de um link malicioso construído pelo atacante — típico de XSS refletido, não persistente.

O vetor é rede, sem autenticação prévia no dispositivo, mas com um pré-requisito de engenharia social: o atacante precisa convencer um usuário legítimo da interface web services (tipicamente um administrador ou usuário de VPN) a clicar em um link forjado que carrega o payload XSS como parâmetro. Isso classifica a exploração como de baixa complexidade técnica (AC:L) porém dependente de interação humana — não é um ataque totalmente automatizável contra o dispositivo em si.

O impacto de um exploit bem-sucedido é execução de script no contexto da sessão do usuário na interface do ASA/FTD, permitindo roubo de informações sensíveis baseadas em navegador (cookies de sessão, tokens, dados exibidos na página) — não execução de código no próprio appliance nem comprometimento direto da VPN.

A Cisco atualizou o advisory em junho de 2021 confirmando que código de exploração público estava disponível e que a CVE-2020-3580 estava sendo ativamente explorada; a CISA incluiu a falha no catálogo KEV em novembro de 2021, com prazo de correção de 03/05/2022. Não há registro, nas fontes consultadas, de uso em campanhas de ransomware.

A Cisco não publicou workaround: a única correção real é atualizar o software para uma versão corrigida. Isso é relevante porque a mitigação típica de XSS (sanitização client-side, extensões de navegador) não resolve o problema — a falha está no código do dispositivo, não no cliente.

Para Cisco ASA Software, as versões corrigidas por branch são: 9.8 → 9.8.4.34; 9.9 → 9.9.2.85; 9.12 → 9.12.4.13; 9.13 → 9.13.1.21; 9.14 → 9.14.2.8; 9.15 → 9.15.1.15. Os branches 9.6, 9.7 e 9.10 (e anteriores a 9.6) já haviam atingido fim de manutenção de software na época do advisory, e a orientação da Cisco era migrar para um branch suportado com a correção. Vale notar que a correção original para uma das CVEs relacionadas (CVE-2020-3581) foi inicialmente incompleta e teve de ser re-corrigida (rastreada como CSCvw53796) — reforça a importância de validar a versão exata instalada, não apenas o branch.

Para Cisco FTD Software a tabela de versões corrigidas consultada estava incompleta na fonte disponível; confirme a versão fixa aplicável ao seu branch diretamente no advisory oficial antes de considerar o ambiente corrigido. Como mitigação compensatória parcial, ambientes que não podem atualizar de imediato podem reduzir exposição desabilitando as features de VPN afetadas (AnyConnect IKEv2 RA com client services, AnyConnect SSL VPN, Clientless SSL VPN) quando o uso operacional permitir — isso remove a superfície vulnerável, mas tem custo funcional direto sobre o acesso remoto.

As fontes consultadas não descrevem assinaturas, padrões de log ou indicadores de rede específicos para tentativas de exploração desta falha. Sendo XSS refletido, o rastro fica primariamente no navegador da vítima e em parâmetros de URL anômalos (scripts, tags HTML codificadas) enviados à interface web services do ASA/FTD — logs de acesso web do próprio dispositivo, quando disponíveis, são o ponto de partida mais razoável para buscar strings de injeção incomuns em requisições GET/POST direcionadas à interface AnyConnect/WebVPN. Não há um IOC confiável e documentado publicamente ligado especificamente a esta CVE além da existência de PoC e template Nuclei, que indicam varredura automatizada possível.