🛡️ CVE-2025-20393 – Vulnérabilité critique Cisco AsyncOS
🔍 Présentation générale
CVE‑2025‑20393 est une vulnérabilité critique d'exécution de code à distance (RCE) dans le logiciel Cisco AsyncOS, affectant :
- Cisco Secure Email Gateway (physique et virtuel)
- Cisco Secure Email and Web Manager (physique et virtuel)
⚠️ Seuls les systèmes avec Spam Quarantine activé et exposé à l'extérieur sont vulnérables.
- Sévérité : Critique (CVSS 3.1 : 10,0 / Maximum)
- Faiblesse : Validation d'entrée incorrecte (CWE-20)
- Exploitation : À distance, sans authentification
- Impact : Compromission totale du système (accès au niveau root)
- Acteurs de la menace : APT lié à la Chine UAT-9686
- État de l'exploitation : Activement exploitée dans la nature
💥 Pourquoi c'est important
- Compromission totale du système à distance possible sans authentification
- Les attaquants installent des portes dérobées persistantes sur les appliances compromises
- Les systèmes exposés à Internet sont confrontés à un risque élevé de compromission
- Avis CISA KEV : Exige une atténuation avant le 24 déc. 2025
⚙️ Détails techniques
| Élément | Détails |
|---|
| Type de vulnérabilité | Exécution de code à distance (RCE) |
| CWE | CWE-20 : Validation d'entrée incorrecte |
| Score CVSS v3.1 | 10,0 (Critique) |
| Vecteur d'attaque | À distance, sans authentification sur le réseau |
| Privilèges requis | Aucun |
| Interaction utilisateur | Aucune |
| Exploitabilité | Élevée — activement exploitée dans la nature |
| État du correctif | Cisco a publié des mises à jour de sécurité |
| Acteurs de la menace connus | Groupe APT lié à la Chine UAT-9686 |
Mécanisme d'attaque :
- L'exploit cible l'interface web Spam Quarantine de Cisco AsyncOS.
- La validation d'entrée incorrecte permet aux attaquants d'exécuter des commandes arbitraires en tant que root.
- Après l'exploitation, les attaquants peuvent déployer des portes dérobées, des logiciels malveillants ou un accès administratif persistant.
🖥️ Systèmes concernés
| Appliance | Notes |
|---|
| Cisco Secure Email Gateway | Physique et virtuelle, vulnérable si Spam Quarantine est exposé à l'extérieur |
| Cisco Secure Email/Web Manager | Physique et virtuelle, vulnérable si Spam Quarantine est exposé à l'extérieur |
❗ Spam Quarantine n'est pas activé par défaut, donc toutes les installations ne sont pas vulnérables.
🛠️ Atténuation et correctifs
✅ Correctif
- Cisco a publié des mises à jour de sécurité pour toutes les appliances concernées.
- L'application immédiate du correctif est obligatoire.
🛡️ Contournements
- Restreindre l'accès réseau aux interfaces Spam Quarantine exposées
- Désactiver Spam Quarantine s'il n'est pas requis
- Surveiller toute activité suspecte ou signe de compromission
- Faire appel au Cisco TAC pour la réponse aux incidents
⚠️ Il n'existe aucun contournement complet ; le correctif est la seule atténuation totale.
📅 Chronologie
| Événement | Date / Notes |
|---|
| Découverte de la vulnérabilité | 2025 |
| Sensibilisation du public | Décembre 2025 |
| Exploitation active | Confirmée par des chercheurs en sécurité |
| Échéance CISA KEV | 24 déc. 2025 |
| Publication de l'avis Cisco | 17 déc. 2025 |
| Publication du correctif | 17-18 déc. 2025 |
🔎 Indicateurs de compromission (IoCs)
Bien que Cisco et des chercheurs aient noté une exploitation active, les IoCs exacts incluent :
- Processus inhabituels sur les appliances Secure Email Gateway
- Connexions sortantes inattendues vers des IP inconnues
- Présence de scripts inconnus ou de binaires de porte dérobée
- Comportement modifié de l'interface web Spam Quarantine
⚠️ Les organisations doivent auditer immédiatement les appliances exposées.
📌 Recommandations opérationnelles
- Inventorier toutes les appliances Cisco Secure Email & Web Manager
- Vérifier l'exposition à Internet de l'interface Spam Quarantine
- Appliquer les correctifs immédiatement
- Auditer les journaux et configurations pour toute activité suspecte
- Reconstruire les systèmes compromis si une exploitation est détectée
- Restreindre temporairement l'accès réseau aux appliances concernées
- Mobiliser les équipes de réponse aux incidents pour une analyse médico-légale
📚 Références
⚠️ Résumé
CVE-2025-20393 est l'une des vulnérabilités Cisco les plus critiques de 2025 :
- Score CVSS maximum (10,0)
- Activement exploitée par des acteurs de la menace sophistiqués
- Compromission totale au niveau root possible
- Le correctif est obligatoire ; les restrictions réseau seules sont insuffisantes
Les organisations doivent considérer toutes les appliances Cisco AsyncOS exposées comme compromises jusqu'à ce qu'elles soient corrigées et vérifiées.
- Enregistrez sous le nom
CVE-2025-20393-checker.py
- Installez les dépendances :
pip install requests (si nécessaire).
- Exemples d'exécution :
- Cible unique :
python CVE-2025-20393-checker.py example.com
- Ports personnalisés :
python CVE-2025-20393-checker.py 192.168.1.100 --ports 443,80
- Liste depuis un fichier : Créez
targets.txt (une adresse par ligne) → python CVE-2025-20393-checker.py @targets.txt --threads 20
Restez prudent : utilisez uniquement sur les systèmes que vous possédez/contrôlez. Si « HIGH RISK » apparaît → Suivez immédiatement les mesures d'atténuation de Cisco !
Ce que vous verrez à l'écran si un indicateur de vulnérabilité est détecté (HIGH RISK)
Lorsque vous exécutez le script CVE-2025-20393-checker.py et qu'il détecte des indicateurs forts que l'interface web Spam Quarantine du Cisco Secure Email Gateway est exposée (ce qui signifie que l'appareil est potentiellement vulnérable à CVE-2025-20393), vous verrez un message d'avertissement clair et bien visible comme celui-ci :
redpack-kr/blackash-cve-2025-20393
