CVE-2025-20393

📌 Descripción general

CVE-2025-20393 es una vulnerabilidad crítica de Ejecución Remota de Comandos (RCE) que afecta a los equipos Cisco Secure Email Gateway (SEG) y Cisco Secure Email and Web Manager (SEWM) que ejecutan Cisco AsyncOS.

La vulnerabilidad existe debido a una validación de entrada incorrecta en la función Spam Quarantine (Cuarentena de Spam). Un atacante remoto no autenticado puede explotar esta falla enviando solicitudes HTTP manipuladas, lo que permite la ejecución arbitraria de comandos con privilegios de root.

Esta vulnerabilidad se considera extremadamente peligrosa porque:

• No se requiere autenticación
• La explotación ocurre a través de la red
• Es posible un compromiso completo del sistema
• Se ha observado explotación activa en entornos reales

🎯 Impacto

• Acceso completo a nivel root
• Capacidad de ejecutar comandos arbitrarios del sistema
• Posible exfiltración de datos
• Instalación persistente de puertas traseras
• Compromiso de la infraestructura de correo electrónico

Puntuación CVSS: 10.0 (Crítico)

🧩 Productos y versiones afectados

Los siguientes productos de Cisco se ven afectados si la función Spam Quarantine está habilitada y expuesta:

Productos afectados

• Cisco Secure Email Gateway (SEG)
• Cisco Secure Email and Web Manager (SEWM)

Versiones afectadas

• Todas las versiones de Cisco AsyncOS donde:
  • Spam Quarantine está habilitada
  • La interfaz es accesible a través de Internet

✅ Los servicios de seguridad de correo electrónico alojados en la nube de Cisco NO están afectados.

🛠 Estado del parche y mitigación

Mitigaciones recomendadas

• Deshabilitar Spam Quarantine si no es necesaria
• Restringir el acceso mediante reglas de firewall
• No exponer las interfaces de gestión a Internet
• Colocar el equipo detrás de una VPN o red interna
• Monitorear los registros HTTP en busca de solicitudes sospechosas
• Reconstruir el equipo si se sospecha un compromiso

🔍 Dorks de búsqueda

🌐 Google Dorks

intitle:"Cisco Secure Email Gateway"

inurl:"/spamquarantine" "Cisco"

🕵️ Shodan Dorks

product:"IronPort AsyncOS http config"

product:"Cisco Secure Email Gateway"

http.title:"Cisco Secure Email"

🦊 FOFA Dorks

app="Cisco Secure Email Gateway"

title="Cisco Secure Email"

🔎 Hunter Dorks

product.name="Cisco Email Security Appliance"

title:"Cisco Secure Email"

body:"Cisco AsyncOS"

🌍 ZoomEye Dorks

app="Cisco Secure Email Platform"

device:"Cisco Secure Email"

http.html_title:"Cisco Secure Email Gateway"

🚀 Cómo usar

1️⃣ Clonar el repositorio

git clone https://github.com/cyberleelawat/CVE-2025-20393.git
cd CVE-2025-20393

2️⃣ Ejecutar el escáner

Usar dominio

nuclei -u https://example.com -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

Usar lista de subdominios

nuclei -l subdomain.txt -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

3️⃣ VERIFICACIÓN DE EXPOSICIÓN

🛠️ Requisitos

Activar venv (Entorno Virtual)

sudo apt update
sudo apt install python3-venv -y

python3 -m venv venv

source venv/bin/activate

• Python 3.8+
• Bibliotecas Python requeridas:
  root@kitploit:~

  pip install requests reportlab
  

4️⃣ 🚀 Uso

🔹 Escaneo básico (solo salida en consola)

python3 cve_2025_20393.py -u https://183.78.170.xxx/login

✅ Ejemplo de salida

==============================
 CVE-2025-20393 EXPOSURE CHECK 
 Cisco Email Security Appliance
 Author: Virendra Kumar | Cyber Leelawat
==============================

[!!] EXPOSURE CONFIRMED ✅ (matches nuclei)
[+] URL      : https://183.78.170.xxx/login
[+] Status   : 200
[+] Version  : 11.0.4-004

Impact (Target-Specific):
- Internet-facing Cisco Email Security Appliance login panel exposed
- Exact AsyncOS version disclosed (11.0.4-004) enabling targeted attacks
- HTTPS service uses invalid/self-signed certificate (MITM risk)

5️⃣ 📄 Generación de informes

🔹 Generar informe HTML y PDF (directorio actual)

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r

📂 Salida

[+] Report Generated:

HTML: ./CVE-2025-20393-report.html
PDF : ./CVE-2025-20393-report.pdf

6️⃣🔹 Generar informe en una ruta personalizada

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r /home/leelawat/Desktop/nasa/

📂 Salida

[+] Report Generated:

HTML: /home/leelawat/Desktop/nasa/CVE-2025-20393-report.html
PDF : /home/leelawat/Desktop/nasa/CVE-2025-20393-report.pdf

⚠️ Aviso legal

Este repositorio se proporciona únicamente con fines educativos y de seguridad defensiva. El autor no se hace responsable por su uso indebido o actividades ilegales. Siempre obtenga permiso explícito antes de probar cualquier sistema.

📚 Referencias

1. Github (https://github.com/advisories/GHSA-mrgj-cg36-fgq8)
2. Nvd (https://nvd.nist.gov/vuln/detail/CVE-2025-20393)
3. CVE (https://www.cve.org/CVERecord?id=CVE-2025-20393)