Cisco отново призовава клиентите си да действат бързо. Компанията "настоятелно" препоръча актуализирането на още една критична уязвимост с root достъп в своя Secure Email Gateway (SEG), а уязвимостта вече е била експлоатирана при zero-day атаки от неизвестни извършители. Според The Register, което се позовава на говорител на Cisco, както Cisco, така и CISA бият тревога. За всяка организация, която маршрутизира поща през тези устройства, този zero-day в Cisco Secure Email Gateway заслужава внимание още днес, а не при следващия прозорец за поддръжка.

Източникът, който съобщава за това, е кратък, затова тази публикация се придържа към потвърденото: уязвимостта е критична, тя предоставя контрол на root ниво, експлоатирана е преди да съществува поправка и атакуващите не са идентифицирани.

Какво означава "Make-Me-Root" за един имейл шлюз

"Make-me-root" е съкращение за уязвимост, която позволява на атакуващ да получи root — най-високото ниво на привилегии в система, базирана на Linux. Root достъпът означава, че атакуващият вече не е ограничен до едно приложение или акаунт. Той обикновено може да чете и променя файлове, да изменя конфигурации, да инсталира постоянни инструменти и да манипулира софтуера, който устройството изпълнява.

На типична работна станция това е сериозно. На устройство за сигурност е по-лошо, защото устройството е доверено по дизайн. Другите системи в мрежата приемат, че шлюзът си върши работата, така че компрометиран шлюз може тихо да подкопае самата защита, която е предназначен да осигурява.

Защо имейл шлюзовете са високоценни цели

Secure Email Gateway се намира по пътя на входящата и изходящата поща. Бизнесът го използва, за да филтрира спам, фишинг и зловреден софтуер, преди съобщенията да достигнат до служителите. Тази позиция го прави привлекателен по няколко причини:

  • Видимост върху пощенския поток. Устройство, което инспектира съобщения, може да обработва чувствително съдържание, прикачени файлове и метаданни за това кой с кого комуникира.
  • Изложение в интернет. Шлюзовете трябва да приемат връзки отвън, което дава на атакуващите място за проби.
  • Ограничено наблюдение. Устройствата често не изпълняват инструментите за откриване на заплахи на крайни точки, които защитават лаптопите и сървърите, така че компрометиране може да остане незабелязано.
  • Доверена мрежова позиция. Захващане на позиция в шлюз може да бъде трамплин към вътрешни системи.

Това не е първият път, в който имейл шлюзът на Cisco е в центъра на вниманието. Предишното ни отразяване на спешната поправка на Cisco за уязвимост с root достъп в шлюз и предупреждението за активно експлоатиран zero-day в имейл шлюз показват модел на сериозни проблеми в същата продуктова линия. Атакуващите също така насочват усилия към инструменти за сигурност на пощата на други доставчици, както се вижда при експлоатирания в реални атаки zero-day в FortiMail, което подсказва, че цялата категория привлича внимание.

Какво казват Cisco и CISA на клиентите да направят

Посланието от Cisco и CISA е последователно: актуализирайте. Формулировката на Cisco беше, че "настоятелно" призовава клиентите да актуализират, а участието на CISA сигнализира, че уязвимостта се счита за реален риск за организациите, включително мрежите в публичния сектор. Тъй като експлоатацията вече се случва, това не е теоретичен риск, който може да изчака тримесечен преглед.

Източникът не описва колко клиенти са засегнати или кой стои зад атаките и ние няма да гадаем. Ясно е, че неизвестни атакуващи са имали преднина, което означава, че организациите трябва да третират актуализирането като първа стъпка, а не като края на процеса.

Как да проверите статуса на актуализацията и да откриете възможно изложение на пощата

Ако администрирате устройства Cisco SEG, физически или виртуални, преминете през кратък контролен списък:

  1. Потвърдете версията си. Сравнете работещия софтуер с поправените версии, изброени в официалното предупреждение на Cisco.
  2. Приложете актуализацията. Дайте приоритет на шлюзовете, изложени в интернет.
  3. Проверете каталога CISA KEV. Списъкът на CISA с известни експлоатирани уязвимости задава очаквания за отстраняване и е полезен справочник, дори ако не сте федерална агенция.
  4. Прегледайте достъпа. Вижте кой може да достигне до интерфейсите за управление на устройството и ги ограничете до доверени мрежи.
  5. Търсете признаци на компрометиране. Прегледайте логовете за неочаквани влизания, промени в конфигурацията, нови акаунти или необичайни изходящи връзки. Ако нещо изглежда нередно, следвайте плана си за реакция при инциденти и се свържете с поддръжката на Cisco.
  6. Обмислете изложението на пощата. Ако даден шлюз може да е бил компрометиран, приемете, че съобщенията, преминаващи през него, може да са били прегледани, и преценете каква чувствителна информация би могла да включва това.

За контекст относно по-ранна кампания срещу същата продуктова фамилия вижте доклада ни за CVE-2025-20393 и атакувания zero-day в имейл шлюза на Cisco.

Какво означава това за вас

Ако управлявате IT или сигурността за организация, използваща Cisco SEG, действието е директно: проверете нивото си на актуализация сега и прегледайте устройството за признаци на манипулация. Ако сте служител или клиент на такава организация, не можете да актуализирате нищо сами, но можете да останете бдителни. Бъдете внимателни с неочаквани съобщения, дори когато изглежда, че идват от доверени контакти, и внимавайте какво изпращате по имейл, тъй като компрометиране на шлюз може да разкрие съдържанието на съобщенията.

Лицата, които не използват такива устройства, не са пряко засегнати от тази конкретна уязвимост. Въпреки това тя е напомняне, че имейлът рядко е поверителен по подразбиране и че инфраструктурата, която го пренася, може да се провали.

Ключови изводи

  • Този zero-day в Cisco Secure Email Gateway е критичен, предоставя контрол на root ниво и вече е експлоатиран.
  • Cisco и CISA призовават за незабавна актуализация.
  • Първо актуализирайте, после разследвайте: проверете логовете, контрола на достъпа и конфигурацията за признаци на компрометиране.
  • Проверете каталога CISA KEV и предупреждението на Cisco за авторитетни подробности.
  • Прегледайте по-ранното отразяване, посочено по-горе, за контекст как са се развивали повтарящите се уязвимости в тази продуктова линия.

Ако вашата организация разчита на Cisco SEG, проверете статуса на актуализацията още днес и потвърдете какво изисква от вас насоката на CISA.