Кратко (TL;DR): Критическая уязвимость (8,6 балла по CVSS) в межсетевых экранах Cisco ASA и Firepower позволяет злоумышленнику перезагрузить устройство одним запросом, нарушая работу корпоративных сетей. Патча пока нет, поэтому администраторам стоит ограничить доступ к управлению и следить за аномалиями. Для личной защиты от DPI и цензуры доступна бесплатная автообновляемая подписка на /sub/happ/for-russia, а приватный анти-DPI мульти-ключ — в @yavpn_robot.

Исследователи безопасности обнаружили неприятную дыру в защитных устройствах Cisco. Как сообщает SecurityLab, уязвимость получила 8,6 балла из 10 по шкале CVSS и позволяет неаутентифицированному атакующему перезагрузить межсетевой экран одним специально сформированным запросом. Казалось бы, мелочь, но в корпоративной среде перезагрузка файрвола означает падение VPN-туннелей, обрыв соединений и потенциальный шлюз для дальнейших атак.

Что под капотом?

Проблема затрагивает устройства Cisco ASA (Adaptive Security Appliance) и Firepower Threat Defense (FTD). Корень зла — в обработке некоторых повреждённых пакетов во время TLS-рукопожатия. Отправив один запрос с особым полем SNI (Server Name Indication), злоумышленник может вызвать повреждение памяти, что приведёт к перезагрузке устройства. Для этого не нужна аутентификация, а значит, уязвимость эксплуатируется удалённо по сети.

Особенно опасно то, что файрвол — это первая линия обороны. Перезагрузка не только вызывает простой, но и сбрасывает таблицы stateful-инспекции, что может оставить бреши в политиках безопасности. В некоторых случаях устройство может вернуться с иной конфигурацией, открывая временные дыры для атак.

Почему это важно?

Для компаний, полагающихся на Cisco в защите периметра, это тревожный звонок. Уязвимость имеет высокий уровень серьёзности, и хотя Cisco признала проблему, патча пока нет. Единственное смягчение — ограничить доступ к управлению доверенными IP и отключить лишние веб-интерфейсы. Администраторам также стоит мониторить логи на предмет необычных SNI-паттернов или внезапных перезагрузок.

В более широком контексте это подчёркивает хрупкость сетевой инфраструктуры. Даже самые защищённые устройства могут пасть от одного пакета. Это напоминание, что defense-in-depth — не просто модное слово, а необходимость.

Что делать прямо сейчас?

Если вы администратор — немедленно применяйте рекомендованные обходные меры. Если вы обычный пользователь, риск косвенный, но возможны обрывы VPN или медленное соединение, если ваш провайдер использует оборудование Cisco. Для личной безопасности и обхода цензуры рассмотрите надёжный VPN. Бесплатная автообновляемая подписка доступна на /sub/happ/for-russia, а для тех, кому нужен приватный мульти-ключ с анти-DPI, — @yavpn_robot.