Cisco phát hành bản vá khẩn cấp cho lỗ hổng root-access trên Gateway

Cisco Gấp Rút Vá Lỗ Hổng Cấp Root Trên Email Gateway

Cisco đã phát hành các bản vá khẩn cấp cho một lỗ hổng nghiêm trọng trong thiết bị Secure Email Gateway của mình, một công cụ được sử dụng rộng rãi mà các doanh nghiệp dựa vào để lọc spam, các nỗ lực lừa đảo (phishing) và mã độc trước khi chúng đến hộp thư của nhân viên. Lỗ hổng này nghiêm trọng đến mức Cisco đã đẩy các bản sửa lỗi ra ngoài lịch phát hành thông thường, một dấu hiệu mạnh mẽ cho thấy công ty coi rủi ro đối với khách hàng là cấp bách.

Theo công bố của Cisco, lỗ hổng này có thể cho phép kẻ tấn công kiểm soát thiết bị bị ảnh hưởng bằng cách khai thác các điểm yếu mà cuối cùng cấp quyền truy cập root, mức đặc quyền cao nhất trên một hệ thống. Quyền truy cập root có nghĩa là kẻ tấn công không chỉ xem lén dữ liệu; chúng có thể cấu hình lại thiết bị, chặn hoặc chuyển hướng lưu lượng email, và sử dụng gateway bị xâm phạm như một bàn đạp để di chuyển sâu hơn vào mạng của công ty.

Đây không phải là sự cố đơn lẻ đối với dòng sản phẩm bảo mật email của Cisco. Một zero-day liên quan, được theo dõi riêng, đã đang bị tấn công tích cực trước chu kỳ vá lỗi mới nhất này, nhấn mạnh rằng các thiết bị email gateway đã trở thành mục tiêu lặp đi lặp lại của những kẻ tấn công đang tìm kiếm một điểm xâm nhập đáng tin cậy vào mạng lưới doanh nghiệp.

Tại Sao Email Gateway Lại Là Mục Tiêu Có Giá Trị Cao Đến Vậy

Các secure email gateway nằm ở một giao điểm đặc biệt nhạy cảm trong hạ tầng của một công ty. Chúng xử lý mọi thông điệp đến và đi, nghĩa là chúng tiếp xúc với tệp đính kèm, liên kết, thông tin liên lạc nội bộ, và thường là cả thông tin xác thực được nhúng trong các quy trình email. Một thiết bị có tầm nhìn rộng như vậy, nếu bị xâm phạm ở cấp root, sẽ cho kẻ tấn công một vị trí quan sát cực kỳ mạnh mẽ.

Đối với doanh nghiệp, điều đó đồng nghĩa với một con đường trực tiếp dẫn đến tấn công lừa đảo qua email doanh nghiệp (BEC), một trong những loại tội phạm mạng gây thiệt hại tài chính nặng nề nhất. Những kẻ tấn công kiểm soát được email gateway có thể chặn thư từ nhạy cảm, chèn nội dung độc hại vào các chuỗi email hợp pháp, hoặc âm thầm theo dõi liên lạc giữa nhân viên, nhà cung cấp và khách hàng trước khi khởi động một vụ lừa đảo có mục tiêu hơn. Bởi vì gateway là hạ tầng được tin cậy, hoạt động độc hại xuất phát từ nó ít có khả năng kích hoạt những dấu hiệu cảnh báo thông thường mà nhân viên được đào tạo để nhận biết.

Đây là lý do tại sao các nhà nghiên cứu bảo mật mô tả loại lỗ hổng này đã gọi quyền truy cập root không cần xác thực trên một email gateway là một trong những bàn đạp tốt nhất mà kẻ tấn công có thể đạt được. Nó bỏ qua hoàn toàn nhu cầu đánh cắp mật khẩu, lừa đảo nhân viên, hay tấn công kỹ thuật xã hội.

Điều Này Có Ý Nghĩa Gì Đối Với Bạn

Nếu tổ chức của bạn vận hành thiết bị Cisco Secure Email Gateway, ưu tiên trước mắt là áp dụng bản vá khẩn cấp của Cisco. Trì hoãn cập nhật trên các thiết bị bảo mật hướng ra internet là một trong những cách phổ biến nhất khiến các tổ chức rơi vào tình trạng bị xâm phạm, vì kẻ tấn công thường xuyên quét tìm các hệ thống chưa được vá ngay khi một lỗ hổng được công bố.

Đối với các doanh nghiệp vừa và nhỏ có thể không có đội bảo mật chuyên trách theo dõi các khuyến cáo của nhà cung cấp, sự cố này là một lời nhắc nhở rằng những công cụ được thiết kế để bảo vệ liên lạc của bạn có thể tự chúng trở thành gánh nặng nếu bị bỏ mặc không được bảo trì. Đáng để hỏi trực tiếp nhà cung cấp IT hoặc đối tác dịch vụ được quản lý của bạn xem liệu các thiết bị bảo mật email của bạn đã được cập nhật chưa và liệu việc quản lý bản vá có đang được xử lý một cách chủ động thay vì đối phó hay không.

Người tiêu dùng và nhân viên làm việc từ xa kết nối với các tổ chức bị ảnh hưởng có thể không thể hành động trực tiếp đối với lỗ hổng này, nhưng đó là một gợi ý hữu ích để xem xét lại cách xử lý thông tin liên lạc kinh doanh nhạy cảm một cách rộng hơn. Việc chỉ dựa vào email gateway của một nhà cung cấp duy nhất để bảo vệ, mà không có các lớp bổ sung như dịch vụ email mã hóa hoặc VPN cho truy cập từ xa vào hệ thống nội bộ, sẽ tập trung rủi ro vào một chỗ. Các kênh liên lạc mã hóa và VPN sẽ không ngăn chặn được một khai thác cấp root trên máy chủ của người khác, nhưng chúng làm giảm lượng dữ liệu nhạy cảm chảy qua bất kỳ điểm thất bại đơn lẻ nào và thêm một lớp bảo vệ cho dữ liệu đang được truyền tải.

Những Điểm Cần Hành Động

• Áp dụng ngay bản vá khẩn cấp của Cisco cho bất kỳ thiết bị Secure Email Gateway nào; đừng chờ đến cửa sổ bảo trì định kỳ.
• Xem xét liệu tổ chức của bạn có quy trình chính thức để theo dõi các khuyến cáo bảo mật của nhà cung cấp hay không, đặc biệt là đối với các thiết bị hướng ra internet.
• Cân nhắc bổ sung thêm các công cụ email hoặc tin nhắn mã hóa cho những liên lạc kinh doanh nhạy cảm nhất của bạn, thay vì hoàn toàn dựa vào một gateway duy nhất.
• Nếu bạn quản lý truy cập từ xa vào hệ thống nội bộ, hãy đảm bảo cấu hình VPN được cập nhật và quyền truy cập được giới hạn trong phạm vi nhân viên thực sự cần.
• Cập nhật thông tin về các công bố liên quan; lỗ hổng này tiếp nối các lỗi khác đã bị khai thác tích cực trong cùng dòng sản phẩm, cho thấy kẻ tấn công đang tích cực thăm dò loại thiết bị này.

Bản vá khẩn cấp của Cisco đóng lại một cánh cửa, nhưng bài học rộng hơn thì rõ ràng: hạ tầng mà doanh nghiệp tin tưởng để bảo vệ liên lạc của họ cần được soi xét và xử lý khẩn cấp giống như bất kỳ hệ thống quan trọng nào khác. Hãy vá kịp thời, xác minh các biện pháp phòng thủ của bạn, và coi các khuyến cáo bảo mật của nhà cung cấp như một phần thường nhật của hoạt động kinh doanh, chứ không phải là điều nghĩ đến sau cùng.