Aktive Angriffe auf Cisco-Firewalls über Heap-Inspection-Lücke

TL;DR

• Cisco hat einen dringenden Patch für CVE-2026-20349 veröffentlicht, eine Heap-Inspection-Schwachstelle in ASA- und FTD-Firewalls, die bereits aktiv ausgenutzt wird.
• Nicht authentifizierte Angreifer können aus der Ferne plötzliche Geräte-Neustarts auslösen. Das führt zu sofortigen Netzwerkausfällen und unterbricht kritische Sicherheitsgrenzen im Unternehmen.

Hintergrund

Unternehmens-Firewalls fungieren als Pförtner, die den Netzwerkverkehr untersuchen, um bösartige Daten zu blockieren. Ciscos Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) sind grundlegende Systeme, die weltweit von tausenden Organisationen genutzt werden, um interne Netzwerke zu sichern und Virtual Private Networks (VPNs) zu verwalten. Wenn diese Perimeter-Geräte eingehende Pakete verarbeiten, weisen sie temporäre Speicherbereiche zu, die sogenannten Heaps. Wenn die Software diesen Speicher während einer Deep Packet Inspection nicht ordnungsgemäß verwaltet, kann das gesamte Sicherheitssystem kollabieren.

Was passiert ist

Die Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-20349 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen und damit bestätigt, dass Bedrohungsakteure eine Heap-Inspection-Schwachstelle in Ciscos Firewall-Systemen aktiv ausnutzen [^1]. Der Fehler betrifft sowohl die ältere Software der Adaptive Security Appliance (ASA) als auch das moderne Betriebssystem der Secure Firewall Threat Defense (FTD) [^1]. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, speziell präparierten Netzwerkverkehr direkt an eine erreichbare Schnittstelle zu senden und so einen plötzlichen Neustart der physischen oder virtuellen Appliance auszulösen [^2].

Sicherheitshinweisen zufolge liegt die Ursache darin, wie die Inspection-Engine der Firewall bestimmte Protokoll-Header innerhalb der Speicherpuffer-Heaps verarbeitet [^2]. Wenn die Engine diese fehlerhaften Pakete analysiert, unterlässt sie die Validierung der Grenzen des zugewiesenen Heap-Speichers. Das führt zu einer Heap-Corruption. Da das Firewall-Betriebssystem darauf ausgelegt ist, die Integrität durch ein Anhalten der Ausführung bei Erkennung einer Speicherbeschädigung zu wahren, stürzt das Gerät sofort ab und startet neu, um seinen Speicherzustand zu bereinigen [^1].

Da der Angriff keine Benutzerauthentifizierung oder vorherigen Netzwerkzugriff erfordert, ist jede Firewall verwundbar, die ihre Verwaltungsoberfläche oder ihr VPN-Gateway im öffentlichen Internet bereitstellt [^2]. Cisco hat Software-Updates veröffentlicht, um das Problem zu beheben, und fordert Administratoren auf, die Patches umgehend einzuspielen. Es gibt keine brauchbaren Workarounds, um die Schwachstelle zu entschärfen, ohne Kernfunktionen der Überprüfung zu deaktivieren. Direktes Einspielen von Systemupdates ist somit der einzige zuverlässige Weg, um betroffene Hardware zu sichern [^2].

Warum es wichtig ist

Firewalls sind als die widerstandsfähigsten Komponenten eines Unternehmensnetzwerks konzipiert und dienen als erste Verteidigungslinie gegen Angriffe von außen. Wenn ein Perimeter-Gerät mit einem einzigen fehlerhaften Paket aus der Ferne zu einem Neustart gezwungen werden kann, ist die gesamte Sicherheitsarchitektur der Organisation gefährdet. Ein Denial-of-Service-Angriff (DoS) auf ein primäres Gateway blockiert nicht nur den Internetzugang: Er trennt Verbindungen von Remote-Mitarbeitern, stoppt die Datenbanksynchronisierung zwischen Cloud und On-Premise und blendet Sicherheitsteams aus, indem er die Log-Weiterleitung unterbricht.

Darüber hinaus nutzen Bedrohungsakteure Denial-of-Service-Taktiken häufig als Nebelkerze. Während Netzwerkadministratoren versuchen zu diagnostizieren, warum ihre primären Firewalls plötzlich neu starten, können Angreifer das vorübergehende Chaos ausnutzen, um Sekundärangriffe an anderer Stelle der Infrastruktur auszuführen. In einigen Netzwerkkonfigurationen wechselt eine ausfallende Firewall möglicherweise standardmäßig in einen "Fail-Open"-Zustand, um die grundlegende Konnektivität aufrechtzuerhalten. Dadurch kann ungefilterter Verkehr vorübergehend direkt in interne Segmente gelangen, bevor sich das System vollständig erholt.

Die Aufnahme dieser Schwachstelle in den KEV-Katalog von CISA deutet darauf hin, dass automatisierte Scanning-Tools wahrscheinlich den gesamten IPv4-Adressraum durchsuchen, um erreichbare Cisco-Schnittstellen zu identifizieren [^1]. Für IT-Abteilungen in Unternehmen unterstreicht dies die Gefahr, Firewall-Verwaltungsportale direkt dem öffentlichen Internet auszusetzen. Es verdeutlicht die Notwendigkeit strikter Zugriffskontrolllisten (ACLs), die Administrationsrechte ausschließlich auf sichere, interne Verwaltungs-Subnetze beschränken.

Ein Beispiel aus der Praxis

Stell dir vor, du bist an einem Dienstagmorgen IT-Administrator in einer regionalen Gesundheitseinrichtung. Die Klinik verlässt sich auf eine Cisco Secure Firewall, um Patientendaten zu sichern und abgelegene Praxen mit der zentralen Datenbank zu verbinden.

Um 9:15 Uhr bricht die Internetverbindung ab. Ärzte aus der Ferne verlieren den Zugriff auf Patientenakten und das Personal vor Ort kann keine Rezepte ausstellen. Auf deiner Verwaltungskonsole siehst du, dass die primäre Firewall plötzlich neu gestartet ist. Sobald das Gerät wieder hochfährt, verarbeitet es ein weiteres eingehendes Paket aus dem Internet, stürzt erneut ab und gerät in eine kontinuierliche Neustart-Schleife.

Ein Angreifer scannt das Web und sendet fehlerhafte Pakete an die öffentliche Schnittstelle deiner Firewall, wobei er CVE-2026-20349 ausnutzt. Um die Schleife zu stoppen, musst du die externe Glasfaserleitung vorübergehend trennen, dich lokal an der Firewall-Konsole anmelden und das neueste Cisco-Software-Update installieren, um die Heap-Inspection-Engine zu immunisieren, bevor du deine Klinik wieder mit der Außenwelt verbindest.

Passende Produkte

Wir empfehlen dieses Buch, weil es eine praktische Grundlage bietet, um zu verstehen, wie Netzwerkpakete strukturiert, überprüft und analysiert werden, um Sicherheitsanomalien zu erkennen.