Cisco heeft een nieuwe beveiligingsupdate voor een zeer ernstige kwetsbaarheid in de Adaptive Security Appliance (ASA) software uitgerold omdat de vorige patch onvolledig was. Daarnaast zijn er nieuwe manieren gevonden om de kwetsbaarheid aan te vallen.

De ASA-software is het besturingssysteem van Cisco-firewalls en andere netwerkapparaten. De software beschikt over een vpn-functionaliteit waarin de kwetsbaarheid zich bevindt. Wanneer die staat ingeschakeld had een aanvaller door het versturen van xml-pakketten naar de interface van het systeem een denial of service kunnen veroorzaken of willekeurige code kunnen uitvoeren en zo het systeem volledig kunnen overnemen.

De eerste versie van de update verscheen op 29 januari en kreeg vooral veel aandacht vanwege de impact. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheid werd die met een 10 beoordeeld. Het beveiligingslek was ontdekt door Cedric Halbronn van de NCC Group. Nadat de update al was uitgekomen ontdekten onderzoekers van Cisco ook nog andere aanvalsvectoren en features die met de kwetsbaarheid te maken hebben. Ook bleek dat de update bepaalde aanvullende manieren voor het uitvoeren van een denial of service niet verhielp. Daarop is er een nieuwe versie van de update uitgegeven.