🛡️ CVE-2025-20393 – ثغرة أمنية خطيرة في Cisco AsyncOS

---

🔍 نظرة عامة

CVE‑2025‑20393 هي ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) حرجة في برنامج Cisco AsyncOS، وتؤثر على:

• Cisco Secure Email Gateway (فعلي وافتراضي)
• Cisco Secure Email and Web Manager (فعلي وافتراضي)

⚠️ فقط الأنظمة التي تحتوي على الحجر الصحي للبريد العشوائي مفعّل ومعرّض خارجيًا هي المعرضة للخطر.

• الخطورة: حرجة (CVSS 3.1: 10.0 / الحد الأقصى)
• نوع الضعف: التحقق غير السليم من المدخلات (CWE-20)
• طريقة الاستغلال: عن بُعد، دون مصادقة
• التأثير: اختراق كامل للنظام (وصول على مستوى الجذر)
• الجهات المهاجمة: مجموعة APT المرتبطة بالصين UAT-9686
• حالة الاستغلال: يُستغل بنشاط في البرية

---

💥 لماذا هو مهم

• اختراق كامل للنظام عن بُعد ممكن دون مصادقة
• يقوم المهاجمون بتثبيت أبواب خلفية دائمة على الأجهزة المخترقة
• الأنظمة المعرّضة للإنترنت معرضة لخطر اختراق مرتفع
• تنبيه CISA KEV: يتطلب التخفيف بحلول 24 ديسمبر 2025

---

⚙️ التفاصيل الفنية

البند	التفاصيل
نوع الثغرة	تنفيذ تعليمات برمجية عن بُعد (RCE)
CWE	CWE-20: التحقق غير السليم من المدخلات
درجة CVSS v3.1	10.0 (حرجة)
ناقل الهجوم	عن بُعد، دون مصادقة عبر الشبكة
الصلاحيات المطلوبة	لا شيء
تفاعل المستخدم	لا شيء
قابلية الاستغلال	عالية — يُستغل بنشاط في البرية
حالة التصحيح	أصدرت Cisco تحديثات أمنية
الجهات المهاجمة المعروفة	مجموعة APT المرتبطة بالصين UAT-9686

آلية الهجوم:

1. يستهدف الاستغلال واجهة الويب للحجر الصحي للبريد العشوائي في Cisco AsyncOS.
2. يسمح التحقق غير السليم من المدخلات للمهاجمين بتنفيذ أوامر اعتباطية كـ جذر.
3. بعد الاستغلال، يمكن للمهاجمين نشر أبواب خلفية أو برامج ضارة أو وصول إداري دائم.

---

🖥️ الأنظمة المتأثرة

الجهاز	ملاحظات
Cisco Secure Email Gateway	فعلي وافتراضي، معرض للخطر إذا كان الحجر الصحي للبريد العشوائي مكشوفًا خارجيًا
Cisco Secure Email/Web Manager	فعلي وافتراضي، معرض للخطر إذا كان الحجر الصحي للبريد العشوائي مكشوفًا خارجيًا

❗ الحجر الصحي للبريد العشوائي غير مفعّل افتراضيًا، لذا ليست كل النشرات معرضة للخطر.

---

🛠️ التخفيف والتصحيح

✅ التصحيح

• أصدرت Cisco تحديثات أمنية لجميع الأجهزة المتأثرة.
• تطبيق التصحيح فورًا إلزامي.

🛡️ الحلول البديلة

• تقييد الوصول إلى الشبكة لواجهات الحجر الصحي للبريد العشوائي المكشوفة
• تعطيل الحجر الصحي للبريد العشوائي إذا لم يكن مطلوبًا
• مراقبة النشاط المشبوه أو علامات الاختراق
• الاتصال بـ Cisco TAC للاستجابة للحوادث

⚠️ لا يوجد حل بديل كامل؛ التصحيح هو التخفيف الكامل الوحيد.

---

📅 الجدول الزمني

الحدث	التاريخ / الملاحظات
اكتشاف الثغرة	2025
الوعي العام	ديسمبر 2025
الاستغلال النشط	مؤكد من قبل باحثين أمنيين
موعد CISA KEV النهائي	24 ديسمبر 2025
إصدار تنبيه Cisco	17 ديسمبر 2025
إصدار التصحيح	17-18 ديسمبر 2025

---

🔎 مؤشرات الاختراق (IoCs)

بينما لاحظت Cisco والباحثون استغلالًا نشطًا، تتضمن مؤشرات الاختراق الدقيقة:

• عمليات غير عادية على أجهزة Secure Email Gateway
• اتصالات صادرة غير متوقعة لعناوين IP غير معروفة
• وجود نصوص برمجية غير معروفة أو ملفات ثنائية لأبواب خلفية
• سلوك متغير لواجهة الويب للحجر الصحي للبريد العشوائي

⚠️ يجب على المؤسسات تدقيق الأجهزة المكشوفة فورًا.

---

🧩 معلومات الجهة المهاجمة

• مجموعة APT: UAT-9686 المرتبطة بالصين
• السلوك الملاحظ:
  • يستغل الثغرة من اليوم الأول للوصول الأولي
  • يثبت آليات الثبات
  • يحافظ على التحكم على مستوى الجذر لاستخراج البيانات أو الحركة الجانبية الإضافية

---

📌 التوصيات التشغيلية

1. جرد جميع أجهزة Cisco Secure Email & Web Manager
2. التحقق من التعرض للإنترنت لواجهة الحجر الصحي للبريد العشوائي
3. تطبيق التصحيحات فورًا
4. تدقيق السجلات والتكوينات بحثًا عن نشاط مشبوه
5. إعادة بناء الأنظمة المخترقة إذا تم اكتشاف استغلال
6. تقييد الوصول إلى الشبكة للأجهزة المتأثرة مؤقتًا
7. إشراك فرق الاستجابة للحوادث للتحليل الجنائي

---

📚 المراجع

• NVD: CVE-2025-20393
• Cisco Security Advisory
• SocPrime Exploit Analysis
• SecurityWeek Coverage
• HelpNetSecurity Article
• The Hacker News Report

---

⚠️ ملخص

CVE-2025-20393 هي واحدة من أخطر ثغرات Cisco في 2025:

• أقصى درجة CVSS (10.0)
• يُستغل بنشاط من قبل جهات تهديد متطورة
• اختراق كامل على مستوى الجذر ممكن
• التصحيح إلزامي؛ قيود الشبكة وحدها غير كافية

يجب على المؤسسات التعامل مع جميع أجهزة Cisco AsyncOS المكشوفة على أنها مخترقة حتى يتم تصحيحها والتحقق منها.

---

📋 كيفية استخدام الفاحص

1. احفظ الملف باسم CVE-2025-20393-checker.py
2. قم بتثبيت المتطلبات: pip install requests (إذا لزم الأمر).
3. أمثلة التشغيل:
   • هدف واحد: python CVE-2025-20393-checker.py example.com
   • منافذ مخصصة: python CVE-2025-20393-checker.py 192.168.1.100 --ports 443,80
   • قائمة من ملف: أنشئ ملف targets.txt (هدف واحد في كل سطر) ← python CVE-2025-20393-checker.py @targets.txt --threads 20

كن آمنًا: استخدم فقط على الأنظمة التي تملكها/تتحكم بها. إذا ظهرت "HIGH RISK" → اتبع إجراءات التخفيف من Cisco فورًا!

---

ما ستراه على الشاشة إذا تم اكتشاف مؤشر ثغرة (HIGH RISK)

عند تشغيل البرنامج النصي CVE-2025-20393-checker.py واكتشافه مؤشرات قوية على أن واجهة الويب للحجر الصحي للبريد العشوائي في Cisco Secure Email Gateway مكشوفة (مما يعني أن الجهاز معرض لـ CVE-2025-20393)، سترى رسالة تحذير واضحة وبارزة مثل هذه:

⚠️ HIGH RISK: https://your-target.com:443/quarantine → Potentially Exposed to CVE-2025-20393!
   Detected Indicators: cisco, asyncos, spam quarantine, quarantine
   🚨 IMMEDIATELY restrict external access and apply Cisco mitigations!

إذا تسببت مسارات أو منافذ متعددة في اكتشاف، فقد ترى عدة أسطر مشابهة، على سبيل المثال:

⚠️ HIGH RISK: https://192.168.1.100:443/ → Potentially Exposed to CVE-2025-20393!
   Detected Indicators: cisco, ironport, secure email gateway
   🚨 IMMEDIATELY restrict external access and apply Cisco mitigations!

⚠️ HIGH RISK: https://192.168.1.100:443/login → Potentially Exposed to CVE-2025-20393!
   Detected Indicators: quarantine, esa, login
   🚨 IMMEDIATELY restrict external access and apply Cisco mitigations!

إذا كان الجهاز غير مكشوف أو آمن على الأرجح:

✅ https://example.com:443 → No vulnerable indicators found (Likely Safe)

إذا كان الهدف غير قابل للوصول أو يوجد خطأ:

❌ https://offline-target.com:443 → Error/Reachable Issue: Connection timed out (Likely Safe or Offline)

ملخص الرموز التي ستراها:

• ⚠️ HIGH RISK (تحذير قوي) → يظهر الجهاز علامات واضحة على وجود واجهة حجر صحي مكشوفة → اتخذ إجراءً فوريًا (احظر الوصول الخارجي، اتبع إجراءات التخفيف من Cisco).
• ✅ Likely Safe (علامة خضراء) → لم يتم اكتشاف مؤشرات ثغرة Cisco مطابقة.
• ❌ Error → الهدف غير قابل للوصول أو مشكلة اتصال (عادةً يعني أنه غير مكشوف).