Origine : bjCSIRT
Numéro : 2025/ALERTE/077
Date de l’alerte : 19/12/2025
APERÇU :
Une vulnérabilité critique de type zero-day affectant Cisco AsyncOS permettrait à un acteur malveillant d’exécuter des commandes arbitraires avec des privilèges root sur les appareils Cisco affectées.
DESCRIPTION :
Cisco AsyncOS est le système d’exploitation des équipements Cisco Secure Email Gateway et Cisco Secure Email and Web Manager, utilisés pour sécuriser la messagerie électronique et gérer le trafic web en entreprise. Ces systèmes offrent des fonctionnalités telles que le filtrage de spam, la gestion des quarantaines, et la protection contre les menaces avancées.
Une vulnérabilité critique libellée CVE-2025-20393, affecte toutes les versions d’AsyncOS. Elle résulte d’une validation incorrecte des entrées dans la fonctionnalité de Spam Quarantine permettant à un acteur malveillant d’exécuter des commandes arbitraires avec des privilèges root sur le système affecté.
Elle est classée critique avec un score de sévérité de 10.0 selon le CVSS V3.1.
IMPACT :
- Exécution de code à distance ;
- Compromission de l’intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité.
SYSTÈMES AFFECTÉS :
Toutes les versions de Cisco AsyncOS, ayant la fonctionnalité Spam Quarantine activée.
MESURES À PRENDRE :
- Restreindre l’accès depuis Internet aux interfaces de gestion de Spam Quarantine
- Désactiver les services inutiles tels que FTP ou HTTP
- Modifier les mots de passe par défaut.
- Appliquer dès que possible les correctifs officiels fournis par Cisco.
RÉFÉRENCES :
