Alerte Cybersécurité : Vulnérabilité Zero-Day dans les VPN Cisco
Cisco a récemment mis en garde contre une vulnérabilité zero-day affectant son Adaptive Security Appliance (ASA) et le Cisco Firepower Threat Defense (FTD), qui est actuellement exploitée par des gangs de ransomware pour infiltrer les réseaux d'entreprises. Dans cet article, nous décomposons la vulnérabilité, désignée sous le nom de CVE-2023-20269, et vous fournissons des conseils pratiques pour mitiger le risque.
Concerné par cette vulnérabilité?
Dhala Cyberdéfense est là pour vous aider à renforcer votre sécurité.
Contactez nos expertsLe contexte : Une vulnérabilité zero-day exploitée
Identifiée sous le numéro CVE-2023-20269, cette vulnérabilité de gravité moyenne affecte la fonctionnalité VPN des appareils Cisco ASA et Cisco FTD, permettant à des attaquants non autorisés de mener des attaques par force brute contre des comptes existants.
Pour mieux comprendre ce genre de vulnérabilité, vous pouvez lire nos articles sur la vulnérabilité Super Admin MikroTik et sur les vulnérabilités de Sophos.
Les attaquants peuvent, en accédant à ces comptes, établir une session VPN SSL sans client au sein du réseau de l'organisation victime. Les répercussions de cette intrusion dépendent grandement de la configuration du réseau de la victime.
Plus d'informations sur cette vulnérabilité sont disponibles sur le site de Cisco et le NIST.
Détails techniques de la vulnérabilité
La faille CVE-2023-20269 réside dans l'interface des services web des dispositifs Cisco ASA et FTD, plus précisément au niveau des fonctions gérant l'authentification, l'autorisation et la comptabilité (AAA).
Celle-ci est due à une séparation incorrecte entre les fonctions AAA et d'autres caractéristiques du logiciel. Cette erreur permet à un attaquant d'envoyer des requêtes d'authentification à l'interface des services web pour influencer ou compromettre les composants d'autorisation.
Mesures d'atténuation
En attendant que Cisco ne propose une mise à jour de sécurité pour résoudre ce problème, il est vivement conseillé aux administrateurs système d'adopter les mesures suivantes :
- Utiliser les politiques d'accès dynamiques (DAP) pour bloquer les tunnels VPN avec DefaultADMINGroup ou DefaultL2LGroup.
- Mettre en œuvre des restrictions de la base de données utilisateur LOCAL en associant des utilisateurs spécifiques à un seul profil avec l'option 'group-lock', et prévenir les configurations VPN en définissant 'vpn-simultaneous-logins' à zéro.
Cisco recommande également de sécuriser les profils VPN Remote Access par défaut en dirigeant tous les profils non par défaut vers un serveur AAA “sinkhole” et d'activer la journalisation pour détecter rapidement d'éventuelles attaques.
Il est crucial de noter que la mise en place d'une authentification multifacteur (MFA) atténue considérablement le risque.
Votre PME utilise un VPN Cisco ? Voici ce que vous devez vérifier
Si votre entreprise utilise un Cisco ASA ou Firepower pour le VPN, vous êtes potentiellement exposé. Voici les actions immédiates :
- Vérifiez la version firmware de votre appliance et appliquez le dernier patch Cisco
- Activez le MFA sur tous les profils VPN (pas seulement le mot de passe)
- Désactivez le VPN SSL sans client si vous ne l'utilisez pas
- Vérifiez les logs de connexion : tentatives de brute-force inhabituelles ?
- Limitez les profils VPN aux utilisateurs qui en ont réellement besoin
Le vrai problème : le VPN classique est un modèle dépassé
La faille CVE-2023-20269 illustre un problème structurel des VPN traditionnels : ils créent un tunnel direct vers votre réseau interne. Si un attaquant obtient les identifiants, il a accès à tout.
Les architectures modernes remplacent le VPN par du Zero Trust Network Access (ZTNA) et du SD-WAN/SASE :
| Critère | VPN classique (Cisco ASA) | ZTNA / SD-WAN (SASE) |
|---|---|---|
| Accès au réseau | Tout le réseau une fois connecté | Application par application |
| Authentification | Mot de passe + MFA (contournable) | Identité + appareil + contexte |
| Surface d'attaque | Large (ports VPN exposés) | Minimale (pas de port ouvert) |
| Mouvement latéral | Possible | Impossible par design |
| Gestion | Complexe (ACL, profils, firmware) | Cloud-native, centralisée |
Chez Dhala, nous accompagnons les PME dans la transition vers des architectures SD-WAN / SASE qui éliminent les risques liés aux VPN classiques.
Ce que Dhala met en place pour sécuriser votre accès distant
- Audit de votre VPN actuel : configuration, firmware, profils, logs
- Migration vers ZTNA/SASE si pertinent pour votre contexte
- MFA résistant au phishing (FIDO2) sur tous les accès distants
- Supervision 24/7 des connexions VPN suspectes via notre SOC
- Segmentation réseau pour limiter les dégâts en cas de compromission
Le tout dans notre offre Infogérance Intégrale à 79€/poste/mois, support et sécurité inclus.
Qu'est-ce qu'une vulnérabilité zero-day et pourquoi est-elle dangereuse ?
Que signifie un VPN SSL sans client et comment cela fonctionne-t-il ?
Qu'est-ce qu'une attaque par force brute et comment s'en protéger ?
Qu'est-ce que l'authentification multifacteur (MFA) et pourquoi est-elle importante ?
Ce qu'il faut retenir
| Point clé | Détail |
|---|---|
| Faille | CVE-2023-20269 — VPN Cisco ASA/FTD |
| Exploitée par | Gangs de ransomware (Akira, LockBit) |
| Risque PME | Accès complet au réseau via VPN compromis |
| Action immédiate | Patcher + MFA + vérifier les logs |
| Action structurelle | Migrer vers ZTNA/SASE |
Pour aller plus loin : découvrez notre offre de sécurité réseau SD-WAN/SASE et notre guide sur la sécurité des VPN et Active Directory.
