CVE-2025-20393
Mis à jour :
Exécution de commandes à distance sur Cisco Secure Email
Une faille de sécurité, identifiée sous la référence CVE-2025-20393, concerne les dispositifs Cisco Secure Email Gateway et Cisco Secure Email and Web Manager. Elle résulte d’une validation d’entrée incorrecte et permet à un attaquant distant non authentifié d’exécuter des commandes arbitraires avec les privilèges root sur le système d’exploitation sous-jacent. L’exploitation se produit lorsque la fonctionnalité de mise en quarantaine des spams est exposée à Internet. Des attaques ont été observées dans la nature, menant à l’installation de portes dérobées (AquaShell, AquaTunnel), d’outils de manipulation de logs (AquaPurge) et de proxy de trafic (Chisel). La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues et exploitées.
Points clés :
- Vulnérabilité : CVE-2025-20393
- Produits affectés : Cisco Secure Email Gateway, Cisco Secure Email and Web Manager.
- Type de vulnérabilité : Validation d’entrée incorrecte (Improper Input Validation).
- Impact : Exécution de commandes arbitraires avec privilèges root à distance et sans authentification.
- Condition d’exploitation : Fonctionnalité de mise en quarantaine des spams exposée à Internet.
- Exploitation observée : Installation de portes dérobées, outils de manipulation de logs et proxy de trafic.
Vulnérabilités :
- CVE-2025-20393
Recommandations : L’article ne fournit pas explicitement de recommandations de correction. Cependant, compte tenu de la nature de la vulnérabilité et de son exploitation active, les utilisateurs des dispositifs affectés devraient considérer les actions suivantes :
- Mise à jour des dispositifs : Vérifier et appliquer les correctifs de sécurité publiés par Cisco pour les produits concernés.
- Isolation des fonctionnalités exposées : Limiter l’exposition à Internet de la fonctionnalité de mise en quarantaine des spams, si possible, jusqu’à ce que des correctifs soient appliqués.
- Surveillance : Renforcer la surveillance des journaux pour détecter toute activité suspecte ou signes d’intrusion.
- Recherche de compromission : Mener des investigations pour détecter la présence d’outils malveillants tels que ceux mentionnés (AquaShell, AquaTunnel, AquaPurge, Chisel).