CVE-2024-20353

Falha de negação de serviço nos servidores web de gerência e VPN do Cisco ASA e FTD: um atacante remoto e não autenticado envia uma requisição HTTP malformada e força o recarregamento (reload) do dispositivo. Não há exploração de código nem vazamento de dados — o impacto é exclusivamente disponibilidade —, mas ela ganhou peso real por ter sido usada, junto com a CVE-2024-20359, na campanha de espionagem ArcaneDoor contra dispositivos de perímetro em redes governamentais.

A causa raiz, classificada pela Cisco como CWE-835 (loop infinito), está na verificação de erro incompleta ao parsear um cabeçalho HTTP recebido pelo servidor web do dispositivo. Um cabeçalho construído de forma específica leva o parser a entrar em um laço que nunca termina corretamente, consumindo recursos até o processo/serviço travar e o ASA/FTD reiniciar sozinho.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H) resume bem o risco: rede, baixa complexidade, sem privilégio, sem interação do usuário, mudança de escopo (o processo web afeta o dispositivo inteiro), e impacto total em disponibilidade sem tocar confidencialidade ou integridade.

O detalhe que a manchete '8.6 crítico, não autenticado' esconde é que a falha só existe se o socket SSL de escuta estiver ativo em alguma porta TCP — e isso depende de o recurso vulnerável estar habilitado. A Cisco lista como configurações que ativam esse socket: acesso web de gerência (ASDM/CSM via 'http server enable'), VPN SSL ('webvpn enable'), AnyConnect IKEv2 com client-services, REST API, Mobile User Security e (em ASA mais antigo) Local CA. Sem nenhuma dessas features habilitada, não há socket SSL de escuta e o dispositivo não é exposto.

O ataque é trivial em termos de complexidade: uma única requisição HTTP crafted contra a porta onde o servidor web de gerência ou VPN está escutando, sem autenticação e sem interação de usuário. O pré-requisito real é a exposição de rede a essa porta — o comando 'show asp table socket | include SSL' indica se existe um listener SSL vulnerável, e se esse listener estiver acessível pela internet, o risco é máximo.

A CISA confirma exploração ativa (KEV, adicionada em 24/04/2024, prazo de correção 01/05/2024) e existe PoC pública. A Cisco Talos documentou a vulnerabilidade como parte da campanha ArcaneDoor, atribuída ao ator UAT4356 (rastreado pela Microsoft como STORM-1849), que combinou essa falha com a CVE-2024-20359 para implantar os backdoors 'Line Dancer' e 'Line Runner' em ASAs de redes governamentais. A Talos não determinou o vetor de acesso inicial da campanha e afirma não ter encontrado evidência de exploração pré-autenticação além do que foi identificado nessas duas CVEs.

O resultado final para um atacante que só explora a CVE-2024-20353 isoladamente é a queda do dispositivo (DoS) — reload inesperado, interrupção de VPN e de gerência durante o boot. Não há execução de código nem persistência decorrente diretamente desta CVE; isso vem de outras falhas (como a CVE-2024-20359) usadas em conjunto.

Não existe workaround publicado pela Cisco para esta vulnerabilidade — o próprio advisory declara explicitamente 'no workarounds available'. A única correção real é atualizar para uma versão de software corrigida do trem de release do ASA ou FTD em uso; a Cisco publicou uma tabela de 'Fixed Software' por versão no advisory oficial, que deve ser consultada diretamente para o número exato aplicável a cada release (não reproduzimos aqui números de versão que não constam integralmente no material disponível).

Como controle compensatório enquanto a atualização não é aplicada, restrinja o alcance de rede às interfaces onde os recursos vulneráveis estão habilitados: limite via ACL os endereços de origem permitidos nos comandos 'http' (gerência/ASDM/REST API) e desabilite temporariamente VPN SSL, IKEv2 client-services, REST API, MUS ou Local CA se não forem estritamente necessários — isso remove o socket SSL de escuta e elimina a superfície de ataque, ao custo de perder esses serviços. Verificar exposição com 'show asp table socket | include SSL' antes e depois da mudança.

O que não funciona: assumir que estar atrás de um firewall de borda mitiga o risco quando a própria porta de gerência ou VPN está exposta à internet — a falha é explorada exatamente nessa borda. Também não basta desabilitar logging ou monitoramento adicional; sem a atualização de software, o dispositivo continua vulnerável ao reload forçado.

Não há assinatura de exploração publicamente confirmada pela Cisco ou pela CISA para esta CVE especificamente; o sinal mais direto é o próprio reload inesperado do dispositivo coincidindo com tráfego HTTP anômalo para a porta de gerência/VPN — verificar syslog por reinícios não programados, mensagens de crash e o conteúdo do crashinfo/show tech-support gerado antes do reboot. Vale notar que, na campanha ArcaneDoor, o ator demonstrou capacidade de interceptar o processo de geração de crash dump para evadir forense em outro implante relacionado (Line Dancer), o que reforça a importância de correlacionar reloads com logs externos centralizados (syslog remoto) em vez de confiar apenas em artefatos locais do próprio ASA/FTD.