Cisco Secure Email Gateway and Cisco Secure Email and Web Manager Remote Command Execution Vulnerability

Falha de validação de entrada (CWE-20) na funcionalidade Spam Quarantine do AsyncOS, presente em Cisco Secure Email Gateway e Cisco Secure Email and Web Manager, permite a um atacante remoto e não autenticado executar comandos arbitrários com privilégios de root no sistema operacional subjacente. O CVSS 10.0 reflete o pior caso, mas a exposição real depende de uma condição não padrão: o Spam Quarantine precisa estar habilitado e acessível pela internet — algo que os próprios guias de implantação da Cisco não recomendam. A Cisco confirmou exploração ativa por um grupo identificado pela Talos como UAT-9686, com implante de mecanismo de persistência nos dispositivos comprometidos, o que motivou a entrada imediata no catálogo KEV da CISA.

A causa raiz é validação insuficiente de requisições HTTP recebidas pela funcionalidade Spam Quarantine do AsyncOS. A Cisco classificou a falha como CWE-20 (Improper Input Validation) e não detalhou publicamente qual parâmetro, endpoint ou estrutura de requisição está mal validado — o advisory descreve o efeito (execução de comando com root) sem expor o mecanismo interno do parser ou do handler HTTP vulnerável.

O vetor de ataque é rede (AV:N), sem necessidade de privilégios (PR:N) nem interação do usuário (UI:N), e a complexidade de exploração é baixa (AC:L) segundo o vetor CVSS oficial. O impacto é total sobre confidencialidade, integridade e disponibilidade, com escopo alterado (S:C), consistente com uma execução de comando que escapa do contexto da aplicação de spam quarantine e atinge o sistema operacional inteiro com privilégios máximos.

A vulnerabilidade só existe na superfície de ataque quando o Spam Quarantine está configurado e com a interface exposta à internet — recurso que não vem habilitado por padrão. Isso reduz significativamente o universo real de dispositivos exploráveis em relação ao que a nota CVSS 10.0 sugere isoladamente.

O atacante envia uma requisição HTTP manipulada diretamente ao endpoint do Spam Quarantine exposto na interface de gerenciamento do appliance. Não há autenticação prévia necessária e não há interação de usuário — o ataque é puramente de rede contra um serviço HTTP alcançável. A Cisco relata que a campanha real observada (atribuída pela Talos ao grupo UAT-9686) tomou conhecimento em 10 de dezembro de 2025 e atingiu 'um subconjunto limitado de appliances com determinadas portas abertas para a internet'.

O resultado documentado da exploração não foi apenas execução pontual de comando: os atacantes implantaram um mecanismo de persistência (um canal covert) para manter acesso remoto contínuo aos appliances comprometidos, mesmo após o comando inicial. Isso indica exploração automatizada e direcionada, não apenas prova de conceito isolada — e há PoC pública circulando, o que amplia o risco de reprodução por outros atores.

A condição prática determinante para exposição é dupla: Spam Quarantine habilitado E acessível pela internet. Ambientes que seguem a arquitetura recomendada pela Cisco (gerenciamento restrito a rede interna/VPN) não apresentam essa superfície, mesmo rodando versão vulnerável do AsyncOS.

A Cisco declarou explicitamente que não há workaround que mitigue diretamente esta vulnerabilidade — a única correção real é atualizar o AsyncOS para uma versão corrigida. O advisory oficial lista a tabela de releases afetadas e a primeira versão corrigida por branch, mas o conteúdo da fonte consultada foi truncado antes dessa tabela; não é possível afirmar aqui números de versão exatos sem risco de erro. Consulte a tabela 'Fixed Releases' completa no advisory oficial da Cisco antes de validar qualquer remediação como concluída.

Como mitigação compensatória imediata — não substitui a atualização —, remover a exposição do Spam Quarantine à internet (restringir a interface de gerenciamento a rede interna/VPN) elimina o vetor de ataque descrito, já que a falha depende dessa exposição. Verificar em Network > IP Interfaces se o checkbox de Spam Quarantine está marcado ajuda a determinar se o appliance está na superfície vulnerável.

Dado que a Cisco confirmou implante de persistência em appliances comprometidos, atualizar a versão sem investigar comprometimento prévio não é suficiente: a Cisco recomenda abrir chamado no TAC para verificação de indicadores de comprometimento e garantir que o acesso remoto esteja habilitado para acelerar essa investigação. Aplicar apenas a atualização, sem essa verificação, pode deixar um implante ativo mesmo em versão corrigida.

Não há assinatura pública de exploração divulgada pela Cisco ou pela Talos no material consultado. O indicador mais concreto citado pela Cisco é a presença de um mecanismo de persistência (canal covert) implantado pelos atacantes para acesso remoto contínuo — a verificação confiável desse implante exige abertura de caso com o TAC da Cisco, não uma assinatura de log genérica. Como medida prática, revisar logs de acesso HTTP à interface do Spam Quarantine por requisições anômalas ou não originadas de administradores conhecidos, e auditar configurações de acesso remoto habilitadas sem necessidade aparente, são sinais indiretos a investigar.