CVE-2024-20359

Falha em uma funcionalidade legada de pré-carregamento de clientes VPN e plug-ins no Cisco ASA e FTD Software, que permite a um atacante local já autenticado com privilégios de Administrador executar código arbitrário como root. O impacto real não é escalonamento a partir de um usuário comum — é persistência: o código injetado sobrevive a reinicializações do equipamento, o que levou a Cisco a elevar o Security Impact Rating de Medium para High. A CVE foi usada em campanha de espionagem estatal (ArcaneDoor) contra dispositivos de perímetro de governos, e está no catálogo KEV da CISA.

Classificada como CWE-94 (Code Injection) pela própria Cisco. O problema está na validação de arquivos lidos do flash do sistema (disk0:) pela função legada de preload de clientes VPN e plug-ins — essa rotina não valida corretamente a integridade/formato do arquivo antes de tratá-lo como componente confiável a ser carregado durante o boot.

O atacante, com acesso administrativo ao equipamento, copia um arquivo malicioso para o file system disk0:. Nenhuma configuração especial é necessária para que o dispositivo seja vulnerável — o advisory afirma explicitamente que não há pré-condição de configuração além do nível de privilégio do atacante. O código só é executado após o próximo reload do dispositivo, o que é ao mesmo tempo a limitação (não é execução imediata) e o motivo do alto risco (persistência que sobrevive a reinicializações e dificulta detecção via reboot simples).

O vetor CVSS (AV:L/AC:L/PR:H/UI:N) resume o quadro: ataque local, baixa complexidade técnica, mas privilégio alto (administrador) exigido, sem interação de usuário. Confidencialidade e integridade impactadas em nível alto; disponibilidade não é diretamente afetada pela CVE em si.

Cisco confirmou que o Firepower Management Center (FMC) Software não é afetado — a falha é específica de ASA e FTD.

Não é uma vulnerabilidade de acesso inicial. Ela pressupõe que o atacante já obteve credenciais de Administrador no ASA/FTD — por phishing, credenciais vazadas, exploração de outra falha ou comprometimento prévio. A partir daí, o abuso é direto: colocar um arquivo malicioso em disk0: e esperar (ou forçar) o próximo reload.

O uso documentado ocorreu na campanha ArcaneDoor, atribuída por Cisco Talos ao ator UAT4356 (rastreado pela Microsoft como STORM-1849). O grupo combinou esta CVE com a CVE-2024-20353 para implantar backdoors customizados ('Line Dancer', residente em memória, e 'Line Runner', mecanismo de persistência) em dispositivos de perímetro de organizações governamentais, com atividade de infraestrutura do ator remontando a novembro de 2023 e testes desde julho de 2023. A Talos não identificou o vetor de acesso inicial da campanha e afirma não ter evidência de exploração pré-autenticação para esta CVE especificamente — ou seja, o comprometimento de credenciais administrativas veio por outro caminho, não pela CVE-2024-20359 em si.

Em ambientes onde credenciais administrativas do ASA/FTD estão comprometidas, a exploração é trivial e o resultado é execução de código como root com persistência através de reboots — permitindo ao atacante manter presença mesmo após reinicializações de manutenção, o que dificulta remediação simples.

A Cisco não publicou workaround: o advisory afirma expressamente 'There are no workarounds that address this vulnerability'. A única remediação real é atualizar para uma versão corrigida de ASA ou FTD Software. O advisory não lista números de versão exatos no corpo do texto disponível — a Cisco direciona o uso do Cisco Software Checker para identificar a release instalada e a 'First Fixed'/'Combined First Fixed' correspondente; não há dado apurado aqui para afirmar faixas numéricas com segurança, e inventar versão seria mais perigoso que não informar.

Como a exploração exige privilégio de Administrador, o controle compensatório mais efetivo enquanto a atualização não ocorre é reduzir a superfície de comprometimento de credenciais administrativas: MFA obrigatório para acesso de gerência, restrição de quem tem nível admin, segmentação do acesso de gerência fora da rede de produção, e monitoramento de qualquer escrita em disk0: fora de processos de manutenção conhecidos.

A CISA incluiu a CVE no catálogo KEV com prazo de correção de 2024-05-01 para agências federais dos EUA, reforçando que a única ação aceita é aplicar a atualização do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível — não há menção a filtragem de rede ou WAF como mitigação válida, já que o vetor é local e físico ao dispositivo (acesso à CLI/gerência), não tráfego de rede filtrável.

Não há assinatura de rede confiável para esta CVE isoladamente, pois a exploração é local (cópia de arquivo para disk0: seguida de reload) e não gera tráfego distintivo. Sinais indiretos de comprometimento associados à campanha ArcaneDoor incluem: syslog desabilitado sem justificativa administrativa, execução do comando 'show configuration' seguida de exfiltração, criação inesperada de packet captures, ausência de crash dump após reboots anômalos (indicando hook no processo de dump para evasão forense), e presença de arquivos não reconhecidos em disk0:. A Cisco publicou ferramentas e orientações de resposta a incidentes específicas para ASA/FTD comprometidos por esta campanha, referenciadas no aviso e no blog da Talos.