CVE-2025-20393

Nome do Software Vulnerável e Versões Afetadas Cisco Secure Email Gateway (versões afetadas não especificadas) Cisco Secure Email and Web Manager (versões afetadas não especificadas) Cisco AsyncOS Software (versões afetadas não especificadas)

Description A validação insuficiente de requisições HTTP no recurso Spam Quarantine permite que um invasor remoto não autenticado execute comandos arbitrários do sistema com privilégios de root no sistema operacional subjacente. Este problema ocorre quando o recurso Spam Quarantine está habilitado e sua interface está acessível pela internet.

A exploração no mundo real foi vinculada a um grupo de ameaça persistente avançada com ligações à China, conhecido como UAT-9686. Este ator implantou um backdoor baseado em Python chamado AquaShell para manter a persistência, juntamente com outras ferramentas, incluindo AquaTunnel (para tunelamento SSH reverso), Chisel (para tunelamento) e AquaPurge (para limpeza de logs do sistema). O backdoor AquaShell responde especificamente a requisições HTTP POST não autenticadas e manipuladas para executar comandos diretamente no shell do sistema.

Recommendations Instale as atualizações mais recentes do Cisco AsyncOS Software para resolver o problema. Bloqueie imediatamente o acesso à internet para a interface Spam Quarantine (portas TCP 80, 443 e 83) usando firewalls de rede. Restrinja o acesso às interfaces de gerenciamento e Spam Quarantine apenas a hosts confiáveis. Separe as funções de processamento de e-mail das interfaces de gerenciamento para reduzir o risco. Para dispositivos com comprometimento confirmado, realize a reinstalação completa da imagem do sistema (re-image) e altere todas as credenciais, pois as atualizações sozinhas não removem partições do sistema modificadas. Desative o recurso Spam Quarantine se ele não for essencial para as operações.