Критическая уязвимость в продукте Cisco Secure Email Gateway позволяет злоумышленникам записывать произвольные файлы в базовую операционную систему. В консультативном уведомлении, опубликованном в среду, компания настоятельно рекомендовала клиентам применить доступные исправления, подтвердив, что уязвимость активно эксплуатируется.
Уязвимость затрагивает функцию Advanced Malware Protection (AMP) продукта и возникает из-за некорректной обработки вложений электронной почты при включенной службе File Reputation. Отправляя электронное письмо со специально созданным вложением через уязвимый шлюз, злоумышленник может выполнять команды с правами root.
Cisco выпустила обновления программного обеспечения для устранения уязвимости, но предупреждает, что обходных путей для ее устранения не существует.
Эксплуатация зависит от предварительных условий
Уязвимость, отслеживаемая как CVE-2026-76519, затрагивает физические и виртуальные шлюзы Cisco Secure Email Gateway, работающие под управлением уязвимого программного обеспечения Cisco AsyncOS, при соблюдении двух условий. Служба File Reputation должна быть включена и назначена почтовой политике, а версия Content Scanner Tools должна быть более ранней, чем 25.3.0.5525.
Служба File Reputation является частью Cisco AMP, которая помогает оценивать репутацию файлов, проходящих через почтовый шлюз. В данном случае некорректная обработка вложений создает возможность для злоумышленника записывать произвольные файлы в базовую операционную систему. Успешная эксплуатация может привести к выполнению команд на уровне root, что потенциально позволит дальнейшее компрометирование шлюза.
Cisco предупреждает, что злоумышленники, компрометирующие шлюз, могут получить доступ к приватным SSH-ключам, используемым для аутентификации между членами кластера шлюзов, что потенциально позволит им компрометировать другие узлы кластера. Злоумышленники с правами root также могут удалять или скрывать следы своей деятельности.
Cisco рекомендует проверять системные журналы шлюза на наличие признаков компрометации с помощью команды grep “System Security” system_logs. Однако чистый результат не должен заменять более широкое расследование: поставщик советует администраторам перекрестно проверять журналы внешней сети и брандмауэра на наличие подозрительного трафика, включая неожиданные загрузки с затронутых шлюзов или загрузки с вредоносных IP-адресов.
Доступны исправления, но важна реакция на инцидент
Cisco указывает AsyncOS 15.5.5-014 и 16.5.0-780 как исправленные версии для соответствующих ветвей программного обеспечения. Клиентам, использующим AsyncOS 16.0, рекомендуется перейти на исправленную версию. Поставщик также сообщил, что исправление доступно через Content Scanner Tools версии 25.3.0.5525 и выше, и что обновление инструментов не требует обновления программного обеспечения или перезагрузки шлюза.
Для потенциально скомпрометированных виртуальных шлюзов Cisco рекомендует сохранить криминалистические доказательства перед восстановлением системы, развернуть чистую виртуальную машину, восстановить ее конфигурацию без импорта предыдущих конфигурационных файлов и обновить учетные данные и криптографические материалы.
Организациям также следует оценить другие шлюзы в том же кластере. Компания заявила, что уже развернула исправленный пакет Content Scanner Tools для своей среды Secure Email Cloud Gateway. В консультативном уведомлении не раскрывается количество жертв и не называются злоумышленники, стоящие за эксплуатацией.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
