[방어] 분석 — CVE-2025-20393

• 심각도 critical · CVSS 10.0 · EPSS 0.2951 · 악용난이도 easy · KEV

Spam Quarantine 기능이 HTTP 요청을 충분히 검증하지 않아, 공격자는 /api/v1/quarantine/submit(또는 유사 경로) 로 POST 요청을 전송하고 messageId, action 파라미터에 쉘 명령(;, &&, ` 등)을 삽입한다. 인증·CSRF 토큰 검증이 우회되면 AsyncOS 레벨에서 루트 권한으로 명령이 실행된다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 공격자가 네트워크를 통해 직접 접근(AV:N)하고, 복잡한 사전 작업 없이도(AC:L) 별도의 권한이 필요 없으며(PR:N), 사용자와의 상호작용도 요구되지(UI:N)라는 현실적인 전제조건을 의미합니다.
이에 따라 공격자는 인증 없이 Cisco AsyncOS Spam Quarantine 기능이 제공하는 HTTP 엔드포인트에 악성 요청만 보내면 됩니다.
취약점은 HTTP 요청 파라미터(예: cmd 필드)의 검증 부족으로, 특수 문자열을 포함한 crafted request가 트리거되면 시스템 명령이 그대로 실행됩니다.
공격 표면은 보통 포트 443(HTTPS) 혹은 80(HTTP)으로 노출되는 관리 웹 UI·API이며, 해당 인터페이스가 외부에 개방돼 있으면 언제든지 접근 가능합니다.
EPSS 0.2951이라는 값은 향후 12개월 내 실제 악용이 발생할 확률이 약 29.5%임을 보여주어, 이론적 심각도와 별개로 현장에서 위협이 될 가능성을 뒷받침합니다.
또한 KEV

성공 시 공격자는 대상 장비의 운영체제에 직접 루트 쉘을 획득하고, 메일 흐름 제어, 내부 인증 정보 탈취, 도메인 컨트롤러로의 Lateral Movement 등 전체 인프라를 장악할 수 있다.

• 동일 AsyncOS 기반 제품군에서 발견된 HTTP 파라미터 인젝션(예: CVE‑2024‑XXXXX)과 연계해 인증 우회 → 권한 상승
• 내부 메일 서버와 연동되는 API가 노출돼 있으면, 초기 RCE 후 SMTP 릴레이를 이용한 스팸 전파·피싱 캠페인으로 확대 가능

• 로그 소스: AsyncOS websvc 로그, HTTPS 액세스 로그, syslog에 기록되는 HTTP_REQUEST 이벤트.
• 주요 필드: source_ip, request_method, uri_path, query_string, post_body, response_code.

1. Suspicious POST to Quarantine API

   • 소스: websvc 로그
   • 조건: request_method="POST" AND uri_path="/api/v1/quarantine/submit" AND (post_body MATCHES (.*[;|&$(].*)`)
   • 임계값: 1회 발생 시 알림

2. Missing CSRF Token

   • 소스: websvc 로그
   • 조건: uri_path="/api/v1/quarantine/submit" AND NOT (post_body CONTAINS "CSRF_TOKEN")
   • 임계값: 5분 내 3회 이상

3. External Source Access

   • 소스: websvc 로그 + 네트워크 IP‑그룹 정의(internal_net)
   • 조건: source_ip NOT IN internal_net AND uri_path="/api/v1/quarantine/.*"
   • 임계값: 1회 발생 시 차단 및 알림

• 오탐 튜닝: 정상 관리자가 내부 스크립트로 자동화된 quarantine 요청을 보낼 경우, 해당 관리 IP를 trusted_quarantine_admins 그룹에 추가하고 위 규칙의 source_ip NOT IN trusted_quarantine_admins 로 예외 처리한다.

• API 접근 제한: 관리 콘솔 또는 CLI(quarantine api enable/disable) 로 내부 전용 서브넷만 허용하도록 설정한다.
• WAF 룰 적용: 웹 애플리케이션 방화벽에 ;, &&, ` 등 쉘 메타문자를 포함한 POST 파라미터 차단 규칙을 추가한다.
• 로그 강화: AsyncOS에서 debug websvc 를 활성화해 모든 HTTP 요청과 응답 코드를 상세 로깅하도록 한다.
  • 구현 난이도: ★★ (설정 파일 수정 및 서비스 재시작)
  • 운영 영향: 로그 양 증가 → SIEM 저장 용량 고려 필요.
  • 검증 방법: 테스트 POST에 의도적 악성 문자열을 포함해 로그에 POST /api/v1/quarantine/submit 와 함께 차단 이벤트가 기록되는지 확인.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.2951 · exploit=easy · in_scope=None