CVE-2025-20393

📌 Visão Geral

CVE-2025-20393 é uma vulnerabilidade crítica de Execução Remota de Comandos (RCE) que afeta dispositivos Cisco Secure Email Gateway (SEG) e Cisco Secure Email and Web Manager (SEWM) que executam Cisco AsyncOS.

A vulnerabilidade existe devido à validação inadequada de entrada no recurso Spam Quarantine. Um atacante remoto não autenticado pode explorar essa falha enviando requisições HTTP maliciosas, levando à execução arbitrária de comandos com privilégios de root.

Esta vulnerabilidade é considerada extremamente perigosa porque:

• Nenhuma autenticação é necessária
• A exploração ocorre pela rede
• É possível comprometer totalmente o sistema
• Exploração ativa já foi observada em campo

🎯 Impacto

• Acesso total como root
• Capacidade de executar comandos arbitrários do sistema
• Potencial exfiltração de dados
• Instalação de backdoor persistente
• Comprometimento da infraestrutura de e-mail

Pontuação CVSS: 10.0 (Crítico)

🧩 Produtos e Versões Afetados

Os seguintes produtos Cisco são afetados se o recurso Spam Quarantine estiver habilitado e exposto:

Produtos Afetados

• Cisco Secure Email Gateway (SEG)
• Cisco Secure Email and Web Manager (SEWM)

Versões Afetadas

• Todas as versões do Cisco AsyncOS onde:
  • Spam Quarantine está habilitado
  • A interface está acessível pela internet

✅ Os serviços de segurança de e-mail hospedados na nuvem da Cisco NÃO são afetados.

🛠 Status de Patch e Mitigação

Mitigações Recomendadas

• Desabilitar o Spam Quarantine se não for necessário
• Restringir o acesso usando regras de firewall
• Não expor interfaces de gerenciamento à internet
• Colocar o dispositivo atrás de VPN ou rede interna
• Monitorar logs HTTP para requisições suspeitas
• Reconstruir o dispositivo em caso de suspeita de comprometimento

🔍 Dorks de Pesquisa

🌐 Google Dorks

intitle:"Cisco Secure Email Gateway"

inurl:"/spamquarantine" "Cisco"

🕵️ Shodan Dorks

product:"IronPort AsyncOS http config"

product:"Cisco Secure Email Gateway"

http.title:"Cisco Secure Email"

🦊 FOFA Dorks

app="Cisco Secure Email Gateway"

title="Cisco Secure Email"

🔎 Hunter Dorks

product.name="Cisco Email Security Appliance"

title:"Cisco Secure Email"

body:"Cisco AsyncOS"

🌍 ZoomEye Dorks

app="Cisco Secure Email Platform"

device:"Cisco Secure Email"

http.html_title:"Cisco Secure Email Gateway"

🚀 Como Usar

1️⃣ Clonar o Repositório

git clone https://github.com/cyberleelawat/CVE-2025-20393.git
cd CVE-2025-20393

2️⃣ Executar o Scanner

Usar domínio

nuclei -u https://example.com -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

Usar lista de subdomínios

nuclei -l subdomain.txt -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

3️⃣ VERIFICAÇÃO DE EXPOSIÇÃO

🛠️ Requisitos

Ativar venv (Ambiente Virtual)

sudo apt update
sudo apt install python3-venv -y

python3 -m venv venv

source venv/bin/activate

• Python 3.8+
• Bibliotecas Python necessárias:
  root@kitploit:~

  pip install requests reportlab
  

4️⃣ 🚀 Uso

🔹 Escaneamento Básico (Apenas Saída no Console)

python3 cve_2025_20393.py -u https://183.78.170.xxx/login

✅ Exemplo de Saída

==============================
 CVE-2025-20393 VERIFICAÇÃO DE EXPOSIÇÃO 
 Cisco Email Security Appliance
 Autor: Virendra Kumar | Cyber Leelawat
==============================

[!!] EXPOSIÇÃO CONFIRMADA ✅ (corresponde ao nuclei)
[+] URL      : https://183.78.170.xxx/login
[+] Status   : 200
[+] Versão   : 11.0.4-004

Impacto (Específico do Alvo):
- Painel de login do Cisco Email Security Appliance exposto à internet
- Versão exata do AsyncOS divulgada (11.0.4-004) permitindo ataques direcionados
- Serviço HTTPS usa certificado inválido/autoassinado (risco de MITM)

5️⃣ 📄 Geração de Relatório

🔹 Gerar Relatório HTML e PDF (Diretório Atual)

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r

📂 Saída

[+] Relatório Gerado:

HTML: ./CVE-2025-20393-report.html
PDF : ./CVE-2025-20393-report.pdf

6️⃣🔹 Gerar Relatório em Caminho Personalizado

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r /home/leelawat/Desktop/nasa/

📂 Saída

[+] Relatório Gerado:

HTML: /home/leelawat/Desktop/nasa/CVE-2025-20393-report.html
PDF : /home/leelawat/Desktop/nasa/CVE-2025-20393-report.pdf

⚠️ Aviso Legal

Este repositório é fornecido apenas para fins educacionais e de segurança defensiva. O autor não é responsável por uso indevido ou atividades ilegais. Sempre obtenha permissão explícita antes de testar qualquer sistema.

📚 Referências

1. Github (https://github.com/advisories/GHSA-mrgj-cg36-fgq8)
2. Nvd (https://nvd.nist.gov/vuln/detail/CVE-2025-20393)
3. CVE (https://www.cve.org/CVERecord?id=CVE-2025-20393)