內容說明

研究人員發現Cisco Secure Email Gateway (SEG)與Secure Email and Web Manager (SEWM)所使用之AsyncOS作業系統存在不當輸入驗證(Improper Input Validation)漏洞(CVE-2025-20393)，在垃圾郵件隔離功能(Spam Quarantine) 啟用且可由網際網路存取時，未經身分鑑別之遠端攻擊者可利用此漏洞以root權限於受影響設備底層作業系統執行任意指令。該漏洞已遭駭客利用，請儘速確認並進行修補。

 

影響平台

使用受影響Cisco AsyncOS作業系統版本之SEG與SEWM設備，於啟用Spam Quarantine功能且該功能可自網際網路存取之情境下。
SEG 16.0系列版本
SEG 15.5系列版本
SEG 15.0系列版本
SEG 14.2(含)以下系列版本
SEWM 16.0系列版本
SEWM 15.5系列版本
SEWM 15.0(含)以下系列版本

 

處置建議

 
SEG 16.0系列版本請更新至16.0.4-016(含)以上版本
SEG 15.5系列版本請更新至15.5.4-012(含)以上版本
SEG 15.0系列版本請更新至15.0.5-016(含)以上版本
SEG 14.2(含)以下系列版本請更新至15.0.5-016(含)以上版本
SEWM 16.0系列版本請更新至16.0.4-010(含)以上版本
SEWM 15.5系列版本請更新至15.5.4-007(含)以上版本
SEWM 15.0(含)以下系列版本請更新至15.0.2-007 (含)以上版本

官方已針對漏洞釋出修復更新，請參考官方說明進行更新，網址如下：
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-attack-N9bf4#fs

 

參考資料

 
1. https://nvd.nist.gov/vuln/detail/CVE-2025-20393
2. https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-attack-N9bf4