Cisco Multiple Products の脆弱性（CVE-2025-20393）

何が起きた

Cisco AsyncOS Software を動かすメール用の機器で、Spam Quarantine（迷惑メールを隔離して利用者に見せる機能）に届く HTTP のリクエストの確認が不十分という弱点が見つかりました。攻撃者は細工したリクエストを送るだけで、機器の土台の OS で、いちばん強い root 権限で任意の（攻撃者が好きに選べる）命令を実行できるおそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、実際に悪用が確認されています。Cisco によると、攻撃者は乗っ取った機器を操り続けるための仕組み（持続化の仕組み）を仕込んでいました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco Secure Email Gateway と Cisco Secure Email and Web Manager（物理機器・仮想機器の両方）を使っている組織が対象です。Cisco によると、修正版より前の AsyncOS Software で、Spam Quarantine の機能が有効になっていて、それがインターネットから届く状態の機器が攻撃を受けます。Spam Quarantine は初期設定では有効になっていません。

何をすればいい

Cisco の公式の案内を確認し、修正版に更新してください。修正版は、Secure Email Gateway なら 15.0.5-016、15.5.4-012、16.0.4-016、Secure Email and Web Manager なら 15.0.2-007、15.5.4-007、16.0.4-010 です（使っている系列ごとに異なります）。Cisco によると、この脆弱性を直接防ぐ回避策はなく、修正版は攻撃者が仕込んだ仕組みも取り除きます。乗っ取られていないか確かめたいときは、Cisco の TAC（技術サポート窓口）に相談するよう案内されています。あわせて Cisco は、インターネットから機器に届かないようにし、必要な場合は信頼できる相手だけに接続を絞ることを勧めています。

やることチェックリスト

• AsyncOS Software を修正版に更新する
• Spam Quarantine が有効かどうかを確認する
• 乗っ取りが心配なら TAC に相談する

用語メモ

Spam Quarantine

迷惑メールと判定されたメールを一時的に隔離しておき、利用者がウェブ画面で確認できるようにする機能です。

root 権限

Linux などの OS で、すべての操作ができるいちばん強い管理者の権限です。

TAC

Cisco の技術サポート窓口（Technical Assistance Center）のことです。