情報取得日: 2025/12/17／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-20393 |
|---|---|
| 製品 | Cisco / AsyncOS for Secure Email Gateway / Secure Email and Web Manager |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-20 不適切な入力検証 |
| 登録／公開日 | 2025/12/17 |
| KEV 期限 | 2025/12/24 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-20393 |
Cisco Secure Email Gateway と Secure Email and Web Manager 用の AsyncOS ソフトウェアで、スパム隔離（Spam Quarantine）機能が HTTP リクエストを十分に検証していない。未認証のリモート攻撃者が細工した HTTP リクエストを一つ送るだけで、OS 上で root 権限の任意コマンドを実行できる。隔離画面は利用者が自分の隔離メールを見るために公開されがちな入口であり、実質的に外部から機器を掌握できる。影響範囲は NVD の CPE で、Secure Email Gateway 向け AsyncOS が 15.0.5-016 / 15.5.4-012 / 16.0.4-016 の各未満、Secure Email and Web Manager 向けが 15.0.2-007 / 15.5.4-007 / 16.0.4-010 の各未満とされる。C195 などの物理機や C100v などの仮想アプライアンスは CPE 上で機器自体が脆弱とはされておらず、判定は AsyncOS の版で行う。CVSS は Cisco（CNA）による CVSS 3.1 の 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。CISA KEV には 2025-12-17 に収載され、是正期限は 2025-12-24。KEV の注記は、インターネットに露出した該当機で侵害の兆候を確認し、最終的な緩和策が出たら速やかに適用するよう求めている。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
クラウド上に Secure Email Gateway / Email and Web Manager の仮想アプライアンスを置いている場合は、アドバイザリ cisco-sa-sma-attack-N9bf4 の Fixed Software に沿って AsyncOS を修正版へ更新する
AWS 側の個別告知は参照情報に無く、対応はベンダー提供のソフトウェア更新のみ。クラウド側に資産があるのは仮想アプライアンス版を自前で載せている場合に限られ、多くの環境ではオンプレの物理機が対象になる。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 上の仮想アプライアンスの AsyncOS を修正版へ更新する
GCP 側の告知は無い。更新までの緩和は、スパム隔離画面と管理インターフェースへの外部到達をファイアウォールで閉じること。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上の仮想アプライアンスの AsyncOS を修正版へ更新する
Azure 側の告知は無い。Exchange Online と併用している構成でも、隔離を Cisco 側に持たせているならこの機器が入口になる。
参照リンク
|
| Linux | 対象外 |
対象外（メールセキュリティアプライアンスの AsyncOS の問題であり、Linux ディストリのパッケージ更新では関係しない）
Linux 側の作業は無いが、隔離画面を前段の nginx などで公開している構成があるなら、その公開設定を閉じることが緩和になる。恒久対応は AsyncOS の更新。
参照リンク
|
判定は機器の CLI で version を実行し、AsyncOS の版を上記の修正版と比べる。Secure Email Gateway は 15.0.5-016 / 15.5.4-012 / 16.0.4-016 以上、Secure Email and Web Manager は 15.0.2-007 / 15.5.4-007 / 16.0.4-010 以上が判断の境目で、製品によって同じ 16.0 系でも修正版のビルド番号が違うことに注意する。次に隔離機能の公開状態を確認する。スパム隔離のエンドユーザー向け画面をインターネットから見えるように公開している構成が最も危険で、リバースプロキシやロードバランサの背後に置いている場合は、そこにも同じ経路が通っていないかを確認する。見落としやすいのは、Email and Web Manager 側で集中隔離を持っている構成でゲートウェイ側だけ更新して管理機を残す、クラスタ構成の一部の機器が古いまま残る、検証機や災対系の機器が対象から漏れる、といった箇所である。すぐ更新できない場合の緩和は経路を閉じることに尽きる。隔離画面の外部公開を止め、社内やVPN 経由からのみ到達できるようにし、管理インターフェースも同様に絞る。KEV の注記が示すとおり、露出していた機器では侵害の兆候の確認が前提作業になる。認証不要で root コマンド実行が可能なので、外部公開していた期間があるならすでに踏まれている前提で動くのが妥当である。更新後は、機器上の不明なアカウントとスケジュール実行、設定の差分、外向き通信のログ、隔離メールの想定外の削除や転送設定を確認し、管理者資格情報と API 用の資格情報、SMTP 認証情報、機器に載せた証明書と鍵を再発行する。完了条件は、全機の AsyncOS が製品別の修正版以上であること、隔離画面と管理系の公開範囲を絞ったこと、痕跡調査と資格情報の再発行が済んでいることの3点。是正期限 2025-12-24 は経過しているため、未更新機が残っていれば期限超過として扱う。
Critical（CVSS 10.0）に分類されるCisco AsyncOS for Secure Email Gateway / Secure Email and Web Managerの脆弱性です。Cisco Secure Email Gateway と Secure Email and Web Manager 用の AsyncOS ソフトウェアで、スパム隔離（Spam Quarantine）機能が HTTP リクエストを十分に検証していない。未認証のリモート攻撃者が細工した HTTP リクエストを一つ送るだけで、OS 上で root 権限の任意コマンドを実行できる。隔離画面は利用者が自分の隔離メールを見るために公開されがちな入口であり、実質的に外部から機器を掌握できる。影響範囲は NVD の CPE で、Secure Email Gateway 向け AsyncOS が 15.0.5-016 / 15.5.4-012 / 16.0.4-016 の各未満、Secure Email and Web Manager 向けが 15.0.2-007 / 15.5.4-007 / 16.0.4-010 の各未満とされる。C195 などの物理機や C100v などの仮想アプライアンスは CPE 上で機器自体が脆弱とはされておらず、判定は AsyncOS の版で行う。CVSS は Cisco（CNA）による CVSS 3.1 の 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。CISA KEV には 2025-12-17 に収載され、是正期限は 2025-12-24。KEV の注記は、インターネットに露出した該当機で侵害の兆候を確認し、最終的な緩和策が出たら速やかに適用するよう求めている。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。
判定は機器の CLI で version を実行し、AsyncOS の版を上記の修正版と比べる。Secure Email Gateway は 15.0.5-016 / 15.5.4-012 / 16.0.4-016 以上、Secure Email and Web Manager は 15.0.2-007 / 15.5.4-007 / 16.0.4-010 以上が判断の境目で、製品によって同じ 16.0 系でも修正版のビルド番号が違うことに注意する。次に隔離機能の公開状態を確認する。スパム隔離のエンドユーザー向け画面をインターネットから見えるように公開している構成が最も危険で、リバースプロキシやロードバランサの背後に置いている場合は、そこにも同じ経路が通っていないかを確認する。見落としやすいのは、Email and Web Manager 側で集中隔離を持っている構成でゲートウェイ側だけ更新して管理機を残す、クラスタ構成の一部の機器が古いまま残る、検証機や災対系の機器が対象から漏れる、といった箇所である。すぐ更新できない場合の緩和は経路を閉じることに尽きる。隔離画面の外部公開を止め、社内やVPN 経由からのみ到達できるようにし、管理インターフェースも同様に絞る。KEV の注記が示すとおり、露出していた機器では侵害の兆候の確認が前提作業になる。認証不要で root コマンド実行が可能なので、外部公開していた期間があるならすでに踏まれている前提で動くのが妥当である。更新後は、機器上の不明なアカウントとスケジュール実行、設定の差分、外向き通信のログ、隔離メールの想定外の削除や転送設定を確認し、管理者資格情報と API 用の資格情報、SMTP 認証情報、機器に載せた証明書と鍵を再発行する。完了条件は、全機の AsyncOS が製品別の修正版以上であること、隔離画面と管理系の公開範囲を絞ったこと、痕跡調査と資格情報の再発行が済んでいることの3点。是正期限 2025-12-24 は経過しているため、未更新機が残っていれば期限超過として扱う。
Cisco AsyncOS for Secure Email Gateway / Secure Email and Web Manager を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-20393）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/12/24 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。