Cisco schließt kritische AsyncOS-Zero-Day-Lücke seit November 2025 ausgenutzt

Cisco behebt aktiv ausgenutzte AsyncOS-Zero-Day-Lücke in Secure Email Gateway

Cisco hat ein kritisches Sicherheitsupdate für CVE-2025-20419 veröffentlicht – eine Zero-Day-Schwachstelle mit höchster Gefahrenstufe im Betriebssystem AsyncOS, das die Secure Email Gateway (SEG)-Appliances des Unternehmens steuert. Laut Cisco-Sicherheitshinweis wird die Lücke seit November 2025 aktiv in Angriffen ausgenutzt.

Technische Details zu CVE-2025-20419

Die Schwachstelle, bewertet mit 10/10 auf der CVSS-Skala, resultiert aus einer unzureichenden Eingabevalidierung in der AsyncOS-Weboberfläche. Angreifer können sie ausnutzen, indem sie eine manipulierte HTTP-Anfrage an eine verwundbare SEG-Appliance senden und dadurch potenziell unauthentifizierte Remote-Code-Ausführung (RCE) mit Root-Rechten erlangen. Für eine erfolgreiche Ausnutzung ist keine Benutzerinteraktion erforderlich.

Cisco hat keine spezifischen Details zu den Angriffsvektoren oder den hinter den Angriffen stehenden Bedrohungsakteuren preisgegeben, da die Untersuchungen noch laufen. Das Unternehmen bestätigte jedoch, dass mehrere Kunden Vorfälle mit unbefugtem Zugriff auf SEG-Appliances gemeldet haben.

Betroffene Systeme und Auswirkungen

Die Zero-Day-Lücke betrifft Cisco Secure Email Gateway-Appliances mit folgenden AsyncOS-Versionen:

• 14.2 und früher (alle Versionen)
• 15.0 (vor 15.0.1-053)
• 15.5 (vor 15.5.1-022)

Organisationen, die diese Versionen verwenden, sind einem hohen Kompromittierungsrisiko ausgesetzt – insbesondere, wenn ihre SEG-Appliances mit dem Internet verbunden sind. Cisco hat beobachtet, dass Angreifer die Schwachstelle nutzen, um Malware einzuschleusen, sensible Daten zu exfiltrieren und Persistenz in den Zielnetzwerken herzustellen.

Empfehlungen für Sicherheitsteams

Cisco fordert Administratoren dringend auf, sofort auf die folgenden gepatchten AsyncOS-Versionen zu aktualisieren:

• 14.2.1-053 (oder neuer)
• 15.0.1-053 (oder neuer)
• 15.5.1-022 (oder neuer)

Zusätzliche Maßnahmen zur Risikominimierung umfassen:

• Einschränkung des Zugriffs auf die SEG-Weboberfläche durch Firewall-Regeln oder VPN-exklusiven Zugang.
• Überwachung des Netzwerkverkehrs auf ungewöhnliche HTTP-Anfragen, die auf SEG-Appliances abzielen.
• Prüfung von Logs auf Anzeichen von unbefugtem Zugriff oder Befehlsausführung.

Cisco hat zudem Snort-Regeln (SIDs 300050-300053) veröffentlicht, um Angriffsversuche zu erkennen. Sicherheitsteams wird empfohlen, diese Regeln in ihre Intrusion-Detection/Prevention-Systeme (IDS/IPS) zu integrieren.

Weitere Informationen finden Sie im offiziellen Sicherheitshinweis von Cisco.