研究员的办公桌：CVE-2025-20362

欢迎来到“研究员的办公桌”——这是Detectify安全研究团队推出的一个内容系列，我们将对特别有趣、复杂或顽固的漏洞进行技术层面的“验尸分析”。我们的目标不是报告最新的研究（这部分可以参考Detectify的发布日志），而是要更深入地审视某些漏洞，无论其披露日期如何，只要它们仍能提供关键的经验教训。

在我们的第一个案例中，我们将剖析针对思科ASA和FTD防火墙的攻击利用链，从无需认证的访问漏洞CVE-2025-20362开始。

案例档案

披露日期：2025年9月25日
绕过漏洞：CVE-2025-20362，CVSS评分6.5
执行漏洞：CVE-2025-20333，CVSS评分9.9
受影响组件：思科ASA/FTD上的VPN Web Server
最终影响：未经认证的远程代码执行
观察结果：这些漏洞在补丁可用之前已被作为零日漏洞利用

CVE-2025-20362的根本原因是什么？

访问漏洞CVE-2025-20362（缺失授权，CWE-862）本质上是用户输入验证的失败，通常表现为路径遍历/标准化问题。

当攻击者发送一个包含特定目录遍历序列的精心构造的HTTP请求时，VPN Web Server的逻辑未能正确地将该请求识别为未经认证。相反，服务器的授权组件被绕过，该请求被视为会话已存在。这使得远程攻击者能够访问关键的、受限制的URL端点——这些端点本不应面向公众交互。

CVE-2025-20362背后的机制是什么？

这个案例的主要教训是可链式利用性。虽然CVE-2025-20362本身评分中等，但当它被用来抵消保护第二个漏洞（缓冲区溢出漏洞CVE-2025-20333）的唯一防线时，其真正的严重性才得以体现。

打开门闩：攻击者利用精心构造的请求利用输入验证漏洞CVE-2025-20362，绕过了登录需求。
执行载荷：攻击者随后利用旨在触发缓冲区溢出CVE-2025-20333的载荷，攻击现已暴露的关键端点。（CVE-2025-20333单独需要有效的VPN凭据）
结果：该利用链实现了未经认证的远程代码执行，并拥有防火墙上的权限：完成了对网络边界的完全控制。

我们的团队之所以选择这个漏洞，是因为它是一个极佳的现代高风险攻击案例。整个利用链已被复杂且疑似国家资助的攻击活动所利用，这表明攻击者优先选择最简单的入侵途径，通常从一个中等严重性的绕过漏洞开始，以解锁关键漏洞。这证明防御者必须识别并修复潜在利用链中的每一个环节，而不仅仅是那些高分的漏洞。

防御要点

打补丁：立即升级到思科最新的已修复版本。
分段和隔离：如果可能，通过上游访问控制列表，将管理和VPN Web Server的访问权限限制在仅受信任的IP地址。
Detectify的方法：Detectify客户正在运行基于载荷的测试，以检查是否存在CVE-2025-20362的精确输入标准化失败问题。