CVE-2018-0296

Falha de validação de entrada na interface web (servidor HTTP interno, processo 'Unicorn') do Cisco ASA e do Firepower Threat Defense (FTD) permite a um atacante remoto e não autenticado enviar uma URL manipulada e causar reload do dispositivo (DoS) ou, em algumas versões, ler arquivos e sessões internas via directory traversal sem autenticação. Importa porque o vetor é HTTP simples, sem necessidade de credenciais, contra equipamentos de borda (firewall/VPN) expostos à internet — e está confirmado no catálogo KEV da CISA com exploração ativa relatada pela própria Cisco.

A vulnerabilidade (CWE-20, validação de entrada imprópria) está no componente interno de servidor web do ASA/FTD, identificado no processo 'Unicorn Proxy Thread', que atende funcionalidades como ASDM, WebVPN/AnyConnect SSL, Clientless SSL VPN, REST API, Mobile Device Manager Proxy e Local CA. O parsing da URL HTTP não valida corretamente sequências de travessia de diretório nem o formato esperado do caminho antes de repassá-lo ao subsistema de arquivos interno.

O atacante controla o caminho da requisição HTTP enviada ao dispositivo. Dependendo da versão de software, esse caminho malformado pode: (a) desencadear uma condição de erro não tratada que provoca reload completo do ASA/FTD (impacto de disponibilidade, sem impacto em confidencialidade/integridade — refletido no vetor CVSS C:N/I:N/A:H); ou (b) em versões onde o processo não trava, permitir que o traversal escape do diretório esperado e liste/leia arquivos internos, incluindo diretórios como '+CSCOE+' e listas de sessões ativas.

A condição só existe se o dispositivo tiver algum recurso que ative esse servidor web interno — ASDM habilitado (http server enable), AnyConnect IKEv2, AnyConnect SSL VPN, Clientless SSL VPN, Cisco Security Manager, Cut-Through Proxy combinado com outro recurso vulnerável na mesma porta, Local CA, MDM Proxy, MUS, Proxy Bypass ou REST API. A Cisco documenta como verificar isso via CLI: 'show asp table socket | include SSL|DTLS' para achar socket de escuta SSL/DTLS numa porta TCP, e 'show processes | include Unicorn' para confirmar se a thread do servidor web está ativa.

O advisory da Cisco atribui score CVSS 8.6 (com Scope Changed, S:C), diferente do vetor 7.5 sem Scope Changed usado como referência nesta página — a divergência reflete visões diferentes sobre se o impacto ultrapassa o componente vulnerável.

O vetor é uma requisição HTTP/HTTPS crafted enviada à interface web do ASA/FTD, sem necessidade de autenticação, credencial válida ou interação do usuário. O único pré-requisito real é que o dispositivo tenha um dos recursos web habilitados (listados na seção técnica) — ou seja, um ASA usado só como firewall de camada 3/4 sem ASDM, WebVPN, REST API etc. habilitado não expõe o servidor web vulnerável. Isso é o detalhe que a manchete 'unauthenticated remote DoS' esconde: exposição depende de configuração, não é universal a todo ASA.

Existe PoC pública (script Python de Yassine Aboukir, publicado no Exploit-DB e GitHub) que usa o caminho '/+CSCOU+/../+CSCOE+/files/file_list.json?path=...' para confirmar se o alvo é um ASA vulnerável (checando cookie 'webvpnLang' na página de logon '+CSCOE+/logon.html') e então tentar listar o diretório raiz, o conteúdo de '+CSCOE+' e sessões ativas — extraindo inclusive nomes de usuários de sessões VPN ativas. O próprio autor alerta que a mesma requisição pode causar DoS em vez de disclosure, dependendo da versão. Existe módulo Metasploit e template Nuclei que automatizam essa detecção/exploração, o que reduz a complexidade a praticamente zero para quem só quer causar reload em massa.

A Cisco confirmou 'tentativas contínuas de exploração in the wild' já no advisory original (2018), e a CISA formalizou a entrada no catálogo KEV em novembro de 2021, com prazo de correção definido para maio de 2022 — evidência de exploração persistente ao longo dos anos contra ASAs expostos à internet com ASDM/WebVPN ligado, tipicamente usados como scanner de reconhecimento (checagem de versão/diretórios) antes de ataques mais direcionados ou simplesmente para derrubar o dispositivo.

A Cisco declara explicitamente que não há workaround para esta CVE — a única mitigação é atualizar para uma versão corrigida do ASA Software ou do FTD Software. O advisory não lista, no conteúdo disponível aqui, a tabela completa de números de versão corrigida por branch; a orientação oficial é consultar a seção 'Fixed Releases' do advisory cisco-sa-20180606-asaftd diretamente na Cisco e confirmar a versão via 'show version | include Version' antes e depois do patch. Não informar aqui números de versão específicos por não termos essa tabela na fonte lida — evite se guiar por versões de terceiros sem checar o advisory original.

Uma redução de exposição possível, mesmo sem patch, é desabilitar os recursos que ativam o servidor web vulnerável quando não forem necessários (ASDM, WebVPN/AnyConnect SSL, Clientless SSL VPN, REST API, MDM Proxy, Local CA, MUS, Proxy Bypass) ou restringir o range de IPs permitido nesses comandos ('http' / 'aaa authentication listener'), já que ASDM e Cisco Security Manager só são vulneráveis a partir de IPs dentro do range configurado. Isso não corrige a falha, apenas reduz a superfície de ataque quando a atualização não é imediatamente viável.

A Cisco publicou a regra Snort 46897 para detecção/bloqueio de tentativas de exploração via IPS — útil como controle compensatório em ambientes com IDS/IPS Snort na frente do ASA, mas não substitui o patch. Não existe mitigação via firewall externo que elimine o risco por completo, pois o próprio tráfego HTTP/HTTPS legítimo para VPN/ASDM precisa alcançar o dispositivo.

Administradores podem verificar exposição local via CLI: 'show asp table socket | include SSL|DTLS' (presença de socket de escuta SSL/DTLS numa porta TCP) seguido de 'show processes | include Unicorn' — se a 'Unicorn Proxy Thread' estiver ativa junto com um dos recursos web habilitados, o dispositivo é considerado vulnerável independente do patch. Em logs de acesso web do ASA/FTD e em tráfego de rede, procurar requisições contendo sequências de travessia de diretório envolvendo os caminhos '+CSCOU+', '+CSCOE+' e parâmetros 'file_list.json?path=' — assinatura usada pela PoC pública e por scanners automatizados; a regra Snort 46897 da Cisco cobre esse padrão. Não há sinal confiável de exploração via DoS além do próprio reload inesperado do dispositivo, o que dificulta atribuição retroativa em ambientes sem logging externo detalhado do tráfego HTTP antes da falha.