CVE-2025-20393

📌 概述

CVE-2025-20393 是一个影响 Cisco Secure Email Gateway (SEG) 和 Cisco Secure Email and Web Manager (SEWM) 设备上运行的 Cisco AsyncOS 的 严重远程命令执行 (RCE) 漏洞。

该漏洞源于 Spam Quarantine 功能中的 输入验证不当。未经身份验证的远程攻击者 可通过发送特制的 HTTP 请求来利用此漏洞，从而导致 以 root 权限执行任意命令。

该漏洞被认定为 极其危险，原因如下：

• 无需身份验证
• 可通过网络进行利用
• 可实现系统完全沦陷
• 已在野外观察到被积极利用

---

🎯 影响

• 完全 root 级别访问
• 能够执行任意系统命令
• 潜在的数据窃取
• 持久性后门安装
• 邮件基础设施沦陷

CVSS 评分： 10.0（严重）

---

🧩 受影响产品与版本

以下 Cisco 产品在 Spam Quarantine 功能启用并暴露 时受影响：

受影响产品

• Cisco Secure Email Gateway (SEG)
• Cisco Secure Email and Web Manager (SEWM)

受影响版本

• 所有 Cisco AsyncOS 版本，只要：
  • Spam Quarantine 已启用
  • 接口可通过互联网访问

✅ Cisco 云托管邮件安全服务 不受影响。

---

🛠 补丁与缓解状态

状态	详情
官方补丁	❌ 尚未发布（截至目前）
已知利用	✅ 是（已报告活跃攻击）
变通方案	❌ 无直接变通方案

建议的缓解措施

• 如果不需要，请禁用 Spam Quarantine
• 使用防火墙规则限制访问
• 不要将管理接口暴露在互联网
• 将设备置于 VPN 或内部网络之后
• 监控 HTTP 日志中的可疑请求
• 如果怀疑已被入侵，重建设备

---

🔍 搜索 Dorks

🌐 Google Dorks

intitle:"Cisco Secure Email Gateway"

inurl:"/spamquarantine" "Cisco"

🕵️ Shodan Dorks

product:"IronPort AsyncOS http config"

product:"Cisco Secure Email Gateway"

http.title:"Cisco Secure Email"

🦊 FOFA Dorks

app="Cisco Secure Email Gateway"

title="Cisco Secure Email"

🔎 Hunter Dorks

product.name="Cisco Email Security Appliance"

title:"Cisco Secure Email"

body:"Cisco AsyncOS"

🌍 ZoomEye Dorks

app="Cisco Secure Email Platform"

device:"Cisco Secure Email"

http.html_title:"Cisco Secure Email Gateway"

---

🚀 使用方法

1️⃣ 克隆仓库

git clone https://github.com/cyberleelawat/CVE-2025-20393.git
cd CVE-2025-20393

2️⃣ 运行扫描器

使用域名

nuclei -u https://example.com -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

使用子域名列表

nuclei -l subdomain.txt -t /home/leelawat/Desktop/CVE-2025-20393/cve-2025-20393.yaml

---

3️⃣ 暴露检查

🛠️ 环境要求

激活虚拟环境 (Virtual Environment)

sudo apt update
sudo apt install python3-venv -y

python3 -m venv venv

source venv/bin/activate

• Python 3.8+
• 所需 Python 库：

  pip install requests reportlab
  

4️⃣ 🚀 使用说明

🔹 基础扫描（仅控制台输出）

python3 cve_2025_20393.py -u https://183.78.170.xxx/login

✅ 示例输出

==============================
 CVE-2025-20393 暴露检查 
 Cisco Email Security Appliance
 作者：Virendra Kumar | Cyber Leelawat
==============================

[!!] 暴露确认 ✅ (与 nuclei 匹配)
[+] URL      : https://183.78.170.xxx/login
[+] 状态     : 200
[+] 版本     : 11.0.4-004

影响（特定目标）：
- 面向互联网的 Cisco Email Security Appliance 登录面板已暴露
- 精确的 AsyncOS 版本被披露 (11.0.4-004)，便于针对性攻击
- HTTPS 服务使用无效/自签名证书（中间人攻击风险）

5️⃣ 📄 报告生成

🔹 生成 HTML 和 PDF 报告（当前目录）

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r

📂 输出

[+] 报告已生成：

HTML: ./CVE-2025-20393-report.html
PDF : ./CVE-2025-20393-report.pdf

6️⃣🔹 生成报告到自定义路径

python3 cve_2025_20393.py -u https://183.78.170.xxx/login -r /home/leelawat/Desktop/nasa/

📂 输出

[+] 报告已生成：

HTML: /home/leelawat/Desktop/nasa/CVE-2025-20393-report.html
PDF : /home/leelawat/Desktop/nasa/CVE-2025-20393-report.pdf

⚠️ 法律免责声明

本仓库仅用于教育和防御性安全目的。 作者不对滥用或非法活动负责。 在测试任何系统之前，请务必获得明确授权。

---

📚 参考资料

1. Github (https://github.com/advisories/GHSA-mrgj-cg36-fgq8)
2. Nvd (https://nvd.nist.gov/vuln/detail/CVE-2025-20393)
3. CVE (https://www.cve.org/CVERecord?id=CVE-2025-20393)