Cisco подтвердила, что критическая уязвимость в Cisco Secure Email Gateway уже эксплуатируется. Дыра позволяет записывать произвольные файлы в операционную систему устройства, а в худшем случае — выполнять команды с правами root. Исправления выпущены, но обходных путей, по словам вендора, не существует: единственный способ закрыть проблему — обновиться.
Уязвимость получила идентификатор CVE-2026-76519. Она затрагивает функцию Advanced Malware Protection (AMP) и связана с некорректной обработкой вложений в письмах при включённой службе File Reputation. Достаточно отправить письмо со специально подготовленным вложением через уязвимое устройство, чтобы выполнить команды с привилегиями root. Это уже не первый случай, когда в почтовых шлюзах Cisco находят критическую дыру: предыдущий zero-day в Secure Email Gateway также давал атакующим серьёзные возможности.
Условия эксплуатации: File Reputation и старые Content Scanner Tools
Атака возможна не на любой конфигурации. Cisco называет два обязательных условия. Во-первых, служба File Reputation должна быть включена и привязана к почтовой политике. Во-вторых, версия Content Scanner Tools должна быть ниже 25.3.0.5525.
Служба File Reputation входит в состав Cisco AMP и помогает оценивать репутацию файлов, проходящих через почтовый шлюз. Именно некорректная обработка вложений открывает возможность записи произвольных файлов в базовую ОС, а успешная эксплуатация ведёт к выполнению команд с правами root и дальнейшей компрометации устройства.
Что грозит после взлома: SSH-ключи кластера и следы
Cisco предупреждает: атакующий, получивший контроль над устройством, может добраться до приватных SSH-ключей, которые используются для аутентификации между узлами кластера. Это открывает путь к компрометации других членов кластера. Кроме того, при наличии root-доступа злоумышленник способен удалить или скрыть следы своей активности.
Как проверить устройство и что делать
Вендор рекомендует проверить системные журналы устройства командой:
grep "System Security" system_logs
Однако чистый результат не отменяет более широкой проверки. Администраторам советуют сверить внешние сетевые и межсетевые журналы на подозрительный трафик — например, неожиданные загрузки с уязвимых устройств или скачивания с вредоносных IP-адресов.
Исправленные выпуски AsyncOS — 15.5.5-014 и 16.5.0-780 для соответствующих веток. Пользователям на AsyncOS 16.0 рекомендуется перейти на исправный выпуск. Кроме того, исправление доступно через Content Scanner Tools версии 25.3.0.5525 и новее, причём обновление инструментов не требует обновления ПО или перезагрузки устройства. Если в инфраструктуре есть и другие продукты Cisco, стоит помнить, что в Cisco ISE недавно закрывали zero-day с максимальной оценкой.
Если устройство уже скомпрометировано
Для потенциально скомпрометированных виртуальных устройств Cisco советует сначала сохранить криминалистические доказательства, а затем пересобрать систему: развернуть чистую виртуальную машину, заново собрать конфигурацию без импорта прежних файлов конфигурации и обновить учётные данные и криптографические материалы. Также стоит оценить состояние других устройств в том же кластере.
Для облачного сервиса Secure Email Cloud Gateway исправленный пакет Content Scanner Tools компания уже развернула. Сколько организаций пострадало и кто стоит за эксплуатацией, в бюллетене не раскрывается.
Частые вопросы
Кого касается эта уязвимость?
Всех, у кого развёрнуты физические или виртуальные устройства Cisco Secure Email Gateway на уязвимых версиях AsyncOS. Обязательное условие — включённая служба File Reputation, привязанная к почтовой политике, и Content Scanner Tools старее 25.3.0.5525.
Как понять, что мой шлюз уязвим?
Проверьте версию AsyncOS и версию Content Scanner Tools. Если инструменты старше 25.3.0.5525 и служба File Reputation активна, устройство под риском.
Есть ли обходной путь, если обновиться нельзя?
Нет. Cisco прямо заявляет, что обходных путей, устраняющих уязвимость, не существует. Единственный вариант — установить исправления.
Нужно ли перезагружать устройство после обновления?
Обновление Content Scanner Tools до версии 25.3.0.5525 и новее не требует обновления ПО или перезагрузки устройства. Обновление самой AsyncOS — отдельная процедура.
Как проверить, не взломали ли уже шлюз?
Начните с команды grep "System Security" system_logs в системных журналах. Затем сверьте внешние сетевые и межсетевые журналы на неожиданные загрузки с устройства и скачивания с вредоносных IP.
Что делать, если устройство признано скомпрометированным?
Сохранить криминалистические доказательства, развернуть чистую виртуальную машину, собрать конфигурацию заново без импорта старых файлов, обновить учётные данные и криптографические материалы. Не забудьте проверить остальные устройства кластера.
Затронут ли облачный сервис Cisco?
Для Secure Email Cloud Gateway исправленный пакет Content Scanner Tools уже развёрнут на стороне вендора.
Известно ли, кто атакует и сколько жертв?
Нет. В бюллетене Cisco не раскрывает ни число пострадавших организаций, ни личности атакующих.
Источник: csoonline.com