¿Qué tan realista y posible es este tipo de ataque?

Permitir SSLv2 con cifrados débiles lo expone a varios ataques potenciales y no vale la pena correr el riesgo. Si solo planea usar cifrados fuertes, es bastante fácil restringir la VPN de SA para que solo permita SSLv3 y TLS1 con cifrados de 168 bits en la pestaña Configuración y seguridad. Incluso notará que hay una advertencia en esa página que indica vulnerabilidades conocidas con SSLv2.

Un ejemplo de ataque MITM contra SSLv2, durante la negociación de sesión, un atacante puede eliminar los cifrados fuertes de la lista disponible en la conversación y forzar al servidor a negociar con uno débil. El resto del tráfico se puede recopilar utilizando un detector de paquetes y descifrarlo más tarde. El usuario no tendría ninguna indicación de que esto haya ocurrido y el cifrado de 40 bits se puede descifrar en menos de un día en el hardware actual.

No relacionado con su pregunta, pero como lo mencionó ... también debe reemplazar el certificado SSL suministrado de fábrica por uno firmado por una CA de confianza. Nessus también debería haber marcado eso como un problema.

La puntuación de riesgo no significa mucho sin contexto. ¿Qué riesgo aumenta esta vulnerabilidad? Desafortunadamente, es lo suficientemente complicado como para requerir siempre cierta cantidad de juicio humano.

Una forma estándar de proporcionar contexto es mediante el uso de Vectores CVSS (Sistema de puntuación de vulnerabilidad común): enlace

CVSS vectors containing only base metrics take the following form:
(AV:[L,A,N]/AC:[H,M,L]/Au:[N,S,M]/C:[N,P,C]/I:[N,P,C]/A:[N,P,C])

The letters within brackets represent possible values of a CVSS metric. Exactly one
option must be chosen for each set of brackets. Letters not within brackets are 
mandatory and must be included in order to create a valid CVSS vector. Each letter or 
pair of letters is an abbreviation for a metric or metric value within CVSS. These 
abbreviations are defined below.

Example 1: (AV:L/AC:H/Au:N/C:N/I:P/A:C)
Example 2: (AV:A/AC:L/Au:M/C:C/I:N/A:P)

Metric: AV = Access Vector (Related exploit range)
Possible Values: L = Local access, A = Adjacent network, N = Network

Metric: AC = Access Complexity (Required attack complexity)
Possible Values: H = High, M = Medium, L = Low

Metric: Au = Authentication (Level of authentication needed to exploit)
Possible Values: N= None required, S= Requires single instance, M= Requires 
multiple instances

Metric: C = Conf Impact (Confidentiality impact)
Possible Values: N = None, P = Partial, C = Complete

Metric: I = Integ Impact (Integrity impact)
Possible Values: N = None, P = Partial, C = Complete

Metric: A = Avail Impact (Availability impact)
Possible Values: N = None, P = Partial, C = Complete