思科发布警告，指出一个存在十年的 ASA 漏洞 CVE-2014-2120 正在被恶意利用。该漏洞存在于思科 ASA 软件的 WebVPN 登录页面，未经身份验证的攻击者可利用其进行跨站脚本 (XSS) 攻击。思科在 2024 年 3 月首次发布公告，但 11 月再次提醒客户，因为检测到新的利用尝试。美国 CISA 也已将该漏洞列入其已知漏洞目录，并强烈建议用户升级到修复版本以防范风险。

⚠️ **ASA 漏洞 CVE-2014-2120 被利用:** 思科 ASA 软件的 WebVPN 登录页面存在漏洞，攻击者可利用其进行跨站脚本 (XSS) 攻击，对 WebVPN 用户造成威胁。

🔎 **漏洞原因：** 漏洞源于参数输入验证不充分，攻击者可通过诱导用户访问恶意链接来发起攻击。

🚨 **新的利用尝试：** 思科在 2024 年 11 月发现该漏洞被再次利用，并提醒客户注意潜在风险。

🛡️ **CISA 已列入 KEV 目录：** 美国网络安全与基础设施安全局 (CISA) 将 CVE-2014-2120 列入其已知漏洞目录，进一步强调了该漏洞的严重性。

🔄 **强烈建议升级：** 思科强烈建议客户升级到已修复版本的 ASA 软件，以消除安全风险。

思科警告客户，一个存在十年之久的 ASA 漏洞 CVE-2014-2120 正在被恶意利用。思科警告说，已有十年历史的ASA漏洞CVE-2014-2120正在被野外攻击利用，并敦促客户查看更新的公告。该漏洞存在于思科自适应安全设备（ASA）软件的 WebVPN 登录页面中，未经身份验证的远程攻击者可以利用该漏洞对思科 ASA 上 WebVPN 的用户进行跨站脚本 (XSS) 攻击。“思科自适应安全设备（ASA）软件的WebVPN登录页面存在一个漏洞，未经身份验证的远程攻击者可利用该漏洞对思科ASA上的WebVPN用户进行跨站脚本（XSS）攻击。该漏洞是由于参数的输入验证不充分造成的。攻击者可以通过说服用户访问恶意链接来利用这个漏洞。”这家网络巨头于 2024 年 3 月 18 日首次发布该公告，但在 2024 年 11 月，思科 PSIRT 检测到针对该漏洞的新的利用尝试。“2024年11月，思科产品安全事故响应小组（PSIRT）意识到在野外有更多利用该漏洞的企图。”该公告继续说道。“思科继续强烈建议客户升级到固定的软件版本，以修复这一漏洞。”11 月，美国 CISA 将 CVE-2014-2120 漏洞添加到其已知漏洞（KEV）目录中。