Cisco가 다시 한번 고객들에게 신속한 조치를 요구하고 있습니다. 이 회사는 Secure Email Gateway(SEG)의 또 다른 치명적인 루트 권한 취약점에 대해 패치 적용을 "강력히" 촉구했으며, 이 결함은 이미 신원이 확인되지 않은 공격자들에 의해 제로데이 공격에 악용되었습니다. Cisco 대변인을 인용한 The Register에 따르면, Cisco와 CISA 모두 경고를 발령하고 있습니다. 이러한 어플라이언스를 통해 메일을 라우팅하는 모든 조직에게 이 Cisco Secure Email Gateway 제로데이는 다음 유지보수 기간이 아니라 오늘 주목해야 할 사안입니다.
출처 보도는 간략하므로, 이 글은 확인된 사실에만 집중합니다: 이 결함은 치명적이고, 루트 권한 수준의 제어를 부여하며, 수정 사항이 존재하기 전에 이미 악용되었고, 공격자들은 확인되지 않았습니다.
이메일 게이트웨이에서 "Make-Me-Root"가 의미하는 것
"Make-me-root"는 공격자가 Linux 기반 시스템에서 최고 권한 수준인 루트를 획득할 수 있게 하는 취약점의 줄임말입니다. 루트 접근 권한이란 공격자가 더 이상 단일 애플리케이션이나 계정에 국한되지 않는다는 것을 의미합니다. 이들은 일반적으로 파일을 읽고 변경하고, 구성을 변경하고, 지속적인 도구를 설치하고, 어플라이언스가 실행하는 소프트웨어를 변조할 수 있습니다.
일반적인 워크스테이션에서 이것은 심각합니다. 보안 어플라이언스에서는 더 나쁩니다. 왜냐하면 해당 장치는 설계상 신뢰받기 때문입니다. 네트워크의 다른 시스템들은 게이트웨이가 제 역할을 하고 있다고 가정하므로, 침해된 게이트웨이는 제공해야 할 바로 그 보호 기능을 조용히 훼손할 수 있습니다.
이메일 게이트웨이가 고가치 표적인 이유
Secure Email Gateway는 인바운드 및 아웃바운드 메일 경로에 위치합니다. 기업은 이를 사용하여 메시지가 직원에게 도달하기 전에 스팸, 피싱, 악성코드를 필터링합니다. 이러한 위치는 여러 이유로 매력적입니다:
- 메일 흐름에 대한 가시성. 메시지를 검사하는 장치는 민감한 콘텐츠, 첨부파일, 누가 누구와 통신하는지에 대한 메타데이터를 처리할 수 있습니다.
- 인터넷 노출. 게이트웨이는 외부로부터의 연결을 반드시 수락해야 하므로, 공격자에게 탐색할 수 있는 지점을 제공합니다.
- 제한된 모니터링. 어플라이언스는 종종 노트북과 서버를 보호하는 엔드포인트 탐지 도구를 실행하지 않으므로, 침해가 발견되지 않을 수 있습니다.
- 신뢰받는 네트워크 위치. 게이트웨이에 대한 발판은 내부 시스템으로 가는 디딤돌이 될 수 있습니다.
이것이 Cisco의 이메일 게이트웨이가 주목받은 첫 번째 사례는 아닙니다. 루트 접근 게이트웨이 결함에 대한 Cisco의 긴급 패치와 활발히 악용되는 이메일 게이트웨이 제로데이 경고에 대한 이전 보도는 동일한 제품 라인에서 심각한 문제가 반복되는 패턴을 보여줍니다. 공격자들은 실제 공격에서 악용된 FortiMail 제로데이에서 볼 수 있듯이 다른 벤더의 메일 보안 도구도 표적으로 삼으며, 이는 이 범주 전체가 주목을 받고 있음을 시사합니다.
Cisco와 CISA가 고객에게 알리는 내용
Cisco와 CISA 모두의 메시지는 일관됩니다: 패치하라는 것입니다. Cisco의 표현은 고객에게 업데이트를 "강력히" 촉구한다는 것이었고, CISA의 개입은 이 결함이 공공 부문 네트워크를 포함한 조직에 실질적인 위험으로 간주된다는 신호입니다. 악용이 이미 발생하고 있으므로, 이것은 분기별 검토를 기다릴 수 있는 이론적 위험이 아닙니다.
출처는 얼마나 많은 고객이 영향을 받는지 또는 공격 배후가 누구인지 설명하지 않으며, 우리는 추측하지 않을 것입니다. 분명한 것은 신원이 확인되지 않은 공격자들이 앞서 나갔다는 것이며, 이는 조직이 패치 적용을 프로세스의 끝이 아니라 첫 단계로 다루어야 함을 의미합니다.
패치 상태 확인 및 가능한 이메일 노출 징후 파악 방법
물리적이든 가상이든 Cisco SEG 어플라이언스를 관리한다면, 다음의 간단한 체크리스트를 따라 진행하세요:
- 버전을 확인하세요. 실행 중인 소프트웨어를 Cisco의 공식 권고문에 나열된 수정 릴리스와 비교하세요.
- 업데이트를 적용하세요. 인터넷에 노출된 게이트웨이를 우선적으로 처리하세요.
- CISA KEV 카탈로그를 확인하세요. CISA의 알려진 악용 취약점 목록은 해결 기대치를 설정하며, 연방 기관이 아니더라도 유용한 참고 자료입니다.
- 접근을 검토하세요. 누가 어플라이언스의 관리 인터페이스에 접근할 수 있는지 확인하고 신뢰할 수 있는 네트워크로 제한하세요.
- 침해 징후를 찾으세요. 예상치 못한 로그인, 구성 변경, 새 계정, 비정상적인 아웃바운드 연결에 대해 로그를 검토하세요. 이상한 점이 있으면 사고 대응 계획을 따르고 Cisco 지원팀에 연락하세요.
- 메일 노출을 고려하세요. 게이트웨이가 침해되었을 가능성이 있다면, 이를 통과한 메시지가 열람되었을 수 있다고 가정하고 관련될 수 있는 민감한 정보가 무엇인지 평가하세요.
동일한 제품군에 대한 이전 캠페인에 대한 배경은 CVE-2025-20393과 공격받는 Cisco 이메일 게이트웨이 제로데이에 대한 우리의 보고서를 참조하세요.
이것이 당신에게 의미하는 것
Cisco SEG를 사용하는 조직의 IT 또는 보안을 관리한다면, 조치는 직접적입니다: 지금 패치 수준을 확인하고 어플라이언스의 변조 징후를 검토하세요. 그러한 조직의 직원이나 고객이라면, 직접 패치할 수는 없지만 경계를 유지할 수 있습니다. 신뢰할 수 있는 연락처에서 온 것처럼 보이더라도 예상치 못한 메시지에 주의하고, 게이트웨이 침해가 메시지 내용을 노출시킬 수 있으므로 이메일로 보내는 내용에 유의하세요.
이러한 어플라이언스를 운영하지 않는 개인은 이 특정 결함의 직접적인 영향을 받지 않습니다. 그럼에도 불구하고, 이는 이메일이 기본적으로 사적이지 않으며 이를 전달하는 인프라가 실패할 수 있다는 점을 상기시켜 줍니다.
핵심 요점
- 이 Cisco Secure Email Gateway 제로데이는 치명적이고, 루트 권한 수준의 제어를 부여하며, 이미 악용되고 있습니다.
- Cisco와 CISA 모두 즉각적인 패치 적용을 촉구합니다.
- 먼저 패치하고, 그 다음 조사하세요: 침해 징후에 대해 로그, 접근 제어, 구성을 확인하세요.
- 권위 있는 세부 정보는 CISA KEV 카탈로그와 Cisco 권고문을 확인하세요.
- 이 제품 라인의 반복적인 결함이 어떻게 전개되었는지에 대한 맥락은 위에 링크된 이전 보도를 검토하세요.
조직이 Cisco SEG에 의존한다면, 오늘 패치 상태를 확인하고 CISA의 지침이 무엇을 요구하는지 확인하세요.
