Cisco một lần nữa yêu cầu khách hàng hành động nhanh chóng. Công ty "đặc biệt" kêu gọi vá một lỗ hổng nghiêm trọng khác ở cấp độ root trong Secure Email Gateway (SEG) của mình, và lỗ hổng này đã bị khai thác trong các cuộc tấn công zero-day bởi những kẻ tấn công chưa xác định. Theo The Register, dẫn lời phát ngôn viên của Cisco, cả Cisco và CISA đều đang gióng lên hồi chuông cảnh báo. Đối với bất kỳ tổ chức nào định tuyến thư qua các thiết bị này, lỗ hổng zero-day trong Cisco Secure Email Gateway này đáng được chú ý ngay hôm nay, chứ không phải vào cửa sổ bảo trì tiếp theo.
Nguồn tin báo cáo khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được xác nhận: lỗ hổng này nghiêm trọng, nó cho phép kiểm soát ở cấp độ root, nó đã bị khai thác trước khi có bản vá, và những kẻ tấn công vẫn chưa được xác định danh tính.
"Make-Me-Root" có nghĩa gì đối với một cổng email
"Make-me-root" là cách nói ngắn gọn để chỉ một lỗ hổng cho phép kẻ tấn công giành được quyền root, mức đặc quyền cao nhất trên một hệ thống dựa trên Linux. Quyền truy cập root có nghĩa là kẻ tấn công không còn bị giới hạn trong một ứng dụng hay tài khoản duy nhất. Chúng thường có thể đọc và thay đổi tệp, sửa đổi cấu hình, cài đặt công cụ duy trì lâu dài, và can thiệp vào phần mềm mà thiết bị đang chạy.
Trên một máy trạm thông thường, điều đó đã là nghiêm trọng. Trên một thiết bị bảo mật, nó còn tệ hơn, bởi vì thiết bị này được tin cậy theo thiết kế. Các hệ thống khác trong mạng mặc định rằng cổng đang làm đúng nhiệm vụ của nó, vì vậy một cổng bị xâm phạm có thể âm thầm phá hoại chính sự bảo vệ mà nó được cho là cung cấp.
Tại sao cổng email là mục tiêu có giá trị cao
Secure Email Gateway nằm trên đường đi của thư đến và thư đi. Doanh nghiệp sử dụng nó để lọc thư rác, lừa đảo và mã độc trước khi thư đến tay nhân viên. Vị trí đó khiến nó trở nên hấp dẫn vì nhiều lý do:
- Khả năng quan sát luồng thư. Một thiết bị kiểm tra thư có thể xử lý nội dung nhạy cảm, tệp đính kèm và siêu dữ liệu về việc ai đang liên lạc với ai.
- Phơi nhiễm ra Internet. Các cổng phải chấp nhận kết nối từ bên ngoài, điều này tạo cho kẻ tấn công một nơi để thăm dò.
- Giám sát hạn chế. Các thiết bị chuyên dụng thường không chạy các công cụ phát hiện endpoint bảo vệ laptop và máy chủ, vì vậy một vụ xâm phạm có thể không bị phát hiện.
- Vị trí mạng được tin cậy. Một chỗ đứng trên cổng có thể là bàn đạp để tiến vào các hệ thống nội bộ.
Đây không phải là lần đầu tiên cổng email của Cisco trở thành tâm điểm. Các bài viết trước đây của chúng tôi về bản vá khẩn cấp của Cisco cho lỗ hổng truy cập root trong cổng và cảnh báo về lỗ hổng zero-day trong cổng email đang bị khai thác tích cực cho thấy một xu hướng các vấn đề nghiêm trọng trong cùng dòng sản phẩm. Kẻ tấn công cũng nhắm vào các công cụ bảo mật thư của nhà cung cấp khác, như đã thấy trong lỗ hổng zero-day của FortiMail bị khai thác trong các cuộc tấn công thực tế, điều này cho thấy cả nhóm sản phẩm này đều thu hút sự chú ý.
Cisco và CISA đang khuyến nghị khách hàng làm gì
Thông điệp từ cả Cisco và CISA đều nhất quán: hãy vá. Cách diễn đạt của Cisco là công ty "đặc biệt" kêu gọi khách hàng cập nhật, và sự tham gia của CISA báo hiệu rằng lỗ hổng này được coi là mối rủi ro thực sự đối với các tổ chức, bao gồm cả các mạng thuộc khu vực công. Bởi vì việc khai thác đã đang diễn ra, đây không phải là rủi ro lý thuyết có thể chờ đến kỳ đánh giá hàng quý.
Nguồn tin không mô tả có bao nhiêu khách hàng bị ảnh hưởng hoặc ai đứng sau các cuộc tấn công, và chúng tôi sẽ không phỏng đoán. Điều rõ ràng là những kẻ tấn công chưa xác định đã có lợi thế dẫn trước, nghĩa là các tổ chức nên coi việc vá là bước một chứ không phải là bước cuối cùng của quy trình.
Cách kiểm tra tình trạng vá và phát hiện khả năng phơi nhiễm email
Nếu bạn quản trị các thiết bị Cisco SEG, dù là vật lý hay ảo, hãy thực hiện theo một danh sách kiểm tra ngắn gọn:
- Xác nhận phiên bản của bạn. So sánh phần mềm đang chạy với các bản phát hành đã được sửa được liệt kê trong khuyến cáo chính thức của Cisco.
- Áp dụng bản cập nhật. Ưu tiên các cổng hướng ra Internet trước.
- Kiểm tra danh mục CISA KEV. Danh sách Các lỗ hổng đã bị khai thác được biết đến của CISA đưa ra kỳ vọng về khắc phục và là một tài liệu tham khảo hữu ích ngay cả khi bạn không thuộc cơ quan liên bang.
- Xem xét quyền truy cập. Kiểm tra ai có thể truy cập các giao diện quản lý của thiết bị và giới hạn chúng trong các mạng được tin cậy.
- Tìm dấu hiệu xâm phạm. Xem lại nhật ký để tìm đăng nhập bất thường, thay đổi cấu hình, tài khoản mới, hoặc các kết nối ra ngoài bất thường. Nếu có bất cứ điều gì trông không ổn, hãy tuân theo kế hoạch ứng phó sự cố của bạn và liên hệ với bộ phận hỗ trợ của Cisco.
- Xem xét khả năng phơi nhiễm thư. Nếu một cổng có thể đã bị xâm phạm, hãy giả định rằng các thư đi qua nó có thể đã bị xem, và đánh giá xem điều đó có thể liên quan đến những thông tin nhạy cảm nào.
Để biết thông tin nền về một chiến dịch trước đó nhắm vào cùng dòng sản phẩm, hãy xem báo cáo của chúng tôi về CVE-2025-20393 và lỗ hổng zero-day trong cổng email Cisco đang bị tấn công.
Điều này có ý nghĩa gì với bạn
Nếu bạn quản lý IT hoặc bảo mật cho một tổ chức sử dụng Cisco SEG, hành động rất trực tiếp: xác minh mức vá của bạn ngay bây giờ và kiểm tra thiết bị để tìm dấu hiệu bị can thiệp. Nếu bạn là nhân viên hoặc khách hàng của một tổ chức như vậy, bạn không thể tự vá bất cứ thứ gì, nhưng bạn có thể luôn cảnh giác. Hãy thận trọng với những thư bất ngờ ngay cả khi chúng có vẻ đến từ những liên hệ đáng tin cậy, và hãy lưu ý về những gì bạn gửi qua email, vì một cổng bị xâm phạm có thể làm lộ nội dung thư.
Những cá nhân không vận hành các thiết bị này không bị ảnh hưởng trực tiếp bởi lỗ hổng cụ thể này. Tuy nhiên, đây là lời nhắc nhở rằng email hiếm khi riêng tư theo mặc định, và rằng hạ tầng mang nó có thể thất bại.
Những điểm chính cần ghi nhớ
- Lỗ hổng zero-day này trong Cisco Secure Email Gateway là nghiêm trọng, cho phép kiểm soát ở cấp độ root, và đã bị khai thác.
- Cả Cisco và CISA đều kêu gọi vá ngay lập tức.
- Vá trước, rồi điều tra: kiểm tra nhật ký, kiểm soát truy cập và cấu hình để tìm dấu hiệu xâm phạm.
- Kiểm tra danh mục CISA KEV và khuyến cáo của Cisco để có thông tin chi tiết có thẩm quyền.
- Xem lại các bài viết trước đây được liên kết ở trên để có bối cảnh về cách các lỗ hổng lặp lại trong dòng sản phẩm này đã diễn ra.
Nếu tổ chức của bạn phụ thuộc vào Cisco SEG, hãy xác minh tình trạng vá ngay hôm nay và xác nhận những gì hướng dẫn của CISA yêu cầu ở bạn.
FAQ: Q1: Lỗ hổng zero-day trong Cisco Secure Email Gateway là gì? A1: Đây là một lỗ hổng nghiêm trọng ở cấp độ root trong Secure Email Gateway (SEG) của Cisco, đã bị khai thác trong các cuộc tấn công zero-day bởi những kẻ tấn công chưa xác định. Q2: 'Make-me-root' có nghĩa gì trong ngữ cảnh này? A2: Nó đề cập đến một lỗ hổng cho phép kẻ tấn công giành được quyền root, mức đặc quyền cao nhất trên một hệ thống dựa trên Linux, cho phép chúng đọc và thay đổi tệp, sửa đổi cấu hình, cài đặt công cụ duy trì lâu dài, và can thiệp vào phần mềm của thiết bị. Q3: Tại sao cổng email được coi là mục tiêu có giá trị cao đối với kẻ tấn công? A3: Chúng cung cấp khả năng quan sát luồng thư, phơi nhiễm ra Internet, thường thiếu công cụ phát hiện endpoint, và giữ vị trí mạng được tin cậy có thể đóng vai trò bàn đạp để tiến vào các hệ thống nội bộ. Q4: Các tổ chức nên làm gì về lỗ hổng này? A4: Cả Cisco và CISA đều kêu gọi khách hàng vá ngay lập tức, với Cisco tuyên bố công ty "đặc biệt" kêu gọi khách hàng cập nhật. Q5: Secure Email Gateway của Cisco đã từng bị nhắm mục tiêu trước đây chưa? A5: Có, có một xu hướng các vấn đề nghiêm trọng trong cùng dòng sản phẩm, bao gồm một bản vá khẩn cấp trước đó cho lỗ hổng truy cập root trong cổng và một cảnh báo về lỗ hổng zero-day trong cổng email đang bị khai thác tích cực. ---END---
