Trusted Design

CVE-2025-20393 の詳細

CVEの情報

説明:
Cisco is aware of a potential vulnerability.  Cisco is currently investigating and will update these details as appropriate as more information becomes available.

CVE更新日: 2025-12-17 17:15:48.523000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2025-12-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.323920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-20393は、Cisco Secure Email GatewayおよびCisco Secure Email and Web Managerに影響を与える深刻なリモートコード実行（RCE）のゼロデイ脆弱性です。この脆弱性は、中国に関連するAPTグループによって悪用が確認されています。

1. 脆弱性の概要

Cisco AsyncOS Software for Cisco Secure Email GatewayおよびCisco Secure Email and Web Managerに存在する、認証されていないリモートからの攻撃を可能にするリモートコード実行（RCE）の脆弱性です。この脆弱性は、Spam Quarantine機能におけるHTTPリクエストの検証が不十分であることに起因します。攻撃者は細工されたHTTPリクエストを送信することで、影響を受けるデバイスの基盤となるオペレーティングシステム上でroot権限で任意のシステムコマンドを実行できる可能性があります。

1.1 影響

  • 攻撃者はroot権限で任意のコマンドを実行できるため、デバイスの完全なリモート制御が可能になります。
  • 攻撃成功後、マルウェアの展開などの様々な侵害後の活動が行われる可能性があります。
  • 攻撃者は、カスタムウェブシェル「AquaShell」、リバースSSHトンネリングツール「AquaTunnel」や「Chisel」、ログ消去ツール「AquaPurge」などの永続化メカニズムを展開することが確認されています。

1.2 深刻度

  • CVSSv3.1ベーススコアは10.0（Critical）と評価されています。

2. 対象となる環境

  • 製品:
    • Cisco Secure Email Gateway (物理および仮想アプライアンス)
    • Cisco Secure Email and Web Manager (物理および仮想アプライアンス)
  • OS: Cisco AsyncOS Softwareのすべてのリリースが影響を受け得るとしています。
    • Cisco Secure Email Cloudのデバイスは影響を受けません。

2.1 影響を受けるOSバージョン

Cisco AsyncOS Software for Cisco Secure Email GatewayおよびCisco Secure Email and Web Managerで動作するAsyncOSのすべてのリリースが影響を受ける可能性があります。具体的なバージョンについては明記されていません。

2.2 影響を受ける設定

  • Spam Quarantine機能が有効になっていること。
  • Spam Quarantine機能がインターネットに公開されていること（インターネットから到達可能であること）。
  • Spam Quarantine機能はデフォルトでは有効になっていません。
  • デフォルトのSpam Quarantineポート（ポート6025）がインターネットに公開されている場合に影響を受けます。
  • HTTPやFTPが有効になっている場合も攻撃に利用される可能性があります。

3. 影響を受けた時の兆候

  • カスタムウェブシェル「AquaShell」（Pythonベースのバックドア）の展開。
  • リバースSSHトンネリングツール「AquaTunnel」や「Chisel」の展開。
  • ログ消去ツール「AquaPurge」の展開。
  • アプライアンスのWebログに異常なアクティビティが見られる。
  • 侵害されたアプライアンスへの永続的メカニズムの配備。
  • 外部のテレメトリ（ファイアウォールログ、プロキシログ、NetFlow、DNSログなど）で、アプライアンスが攻撃者インフラと通信している形跡が見られる。

4. 推奨対策

4.1 本対策

  • 2026年1月15日に本脆弱性を修正するパッチがリリースされています。開発者が提供する情報に基づき、最新版へアップデートしてください。
  • 侵害が確認された場合は、攻撃者の永続性を完全に除去するため、アプライアンスの再構築が現在唯一の効果的な方法として推奨されています。

4.2 暫定回避策（緩和策）

パッチが適用されるまでの間、以下の緩和策を実施することが推奨されます。

  • Spam Quarantineサービスがインターネットに露出しないように設定してください。
  • 信頼できるホストからのアクセスのみに制限し、アクセス制御を実装してください。
  • アプライアンスをファイアウォールの背後に設置し、トラフィックをフィルタリングしてください。
  • 不要なサービスは無効にしてください。
  • SAMLやLDAPなどの強力な認証メカニズムを適用してください。
  • デフォルトの管理者資格情報を強力なパスワードに置き換えてください。
  • メイン管理ポータルへのHTTPアクセスを無効化してください。
  • Spam Quarantine機能が不要な場合は、完全に無効にすることを検討してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る