Ciscoは、Cisco AsyncOS Software for Secure Email Gatewayに存在する深刻なSQLインジェクション脆弱性を公表しました。攻撃者はこの脆弱性を悪用し、脆弱なアプライアンス上でroot権限による任意のコマンド実行を積極的に行っています。
CVE-2026-76461として追跡されているこの脆弱性は、CVSS v3.1スコアが9.8で、製品のメール解析ロジックにおける検証不足に起因します。
Ciscoによると、認証されていないリモートの攻撃者は、悪意のあるSQL文を含む特別に細工したメールを、影響を受けるゲートウェイ経由で送信することで、この問題を引き起こすことが可能です。
悪用に成功すると任意のSQL実行が可能になり、最終的にはroot権限でのオペレーティングシステムコマンド実行にまでつながる恐れがあります。
このアクセス権限のレベルの高さは、インターネットに公開されたメールセキュリティアプライアンスにとって特に深刻な問題です。侵入者はアプライアンスを改ざんしたり、そこにアクセス可能なデータを窃取したり、持続的なアクセス手段を確立したり、さらなる攻撃活動の足がかりとして利用したりする可能性があります。
脆弱性の影響範囲には、物理・仮想を問わずCisco Secure Email Gatewayの全ての導入環境が含まれ、設定内容にかかわらず該当します。Ciscoによれば、Secure Email and Web ManagerおよびSecure Web Applianceは影響を受けないとのことです。
同社はすでにパッチをリリースしており、AsyncOS 15.5以前についてはバージョン15.5.5-0141で、バージョン16.0については16.0.4-3021で、16.5については16.5.0-780で修正が提供されています。Ciscoは16.5.0-780への移行を強く推奨しています。
同社のクラウドサービス群はすでにこのリリースにアップグレード済みで、侵害の可能性を示す痕跡が確認されたSecure Email Cloud顧客のデバイスについては、Ciscoが個別に連絡を取り、修復・復旧作業を進めています。
管理者は、ゲートウェイクラスタの全メンバーにわたってmail_logsを確認し、不審なSQL構文がないか調査する必要があります。Ciscoは検出用のコマンド例として、IronPortのテキストメールログに対してgrep -i "COPY.*TO PROGRAM"を実行する方法を提示しています。
該当するエントリが見つかった場合、悪意のある活動を示している可能性があります。ただし同社は、root権限を奪われた場合、攻撃者がローカルの証跡を削除・隠蔽できてしまう点に注意を促しています。
そのため防御側は、アプライアンス上での調査結果を、外部に保管されたネットワーク、プロキシ、ファイアウォールのテレメトリと突き合わせて裏付けを取る必要があります。特に、ゲートウェイからの予期しないアップロードや、不審な外部IPアドレスが関与するダウンロードには注意を払うべきです。
コマンドライン操作の権限を持たないクラウド管理者は、推奨されているログ確認作業を自ら行えない場合があります。Ciscoは、悪意のある活動を検知したクラウド顧客には直接通知を行ったとしています。
オンプレミス環境については、Ciscoはウェブインターフェースの「System Administration」＞「System Upgrade」から、またはCLIのupgradeコマンドとDOWNLOADINSTALLオプションを使ってアップグレードすることを推奨しています。
物理アプライアンスで侵害が疑われる場合、顧客は証跡を保全した上でCisco TACに連絡する必要があります。仮想アプライアンスについては、修正済みリリースの仮想マシンを導入する前に証跡を記録し、その後、設定の再構築、認証情報や暗号鍵の更新、そして異常の監視を行うことをCiscoは推奨しています。
組織はアクセスを制限し、インターフェースを隔離し、ログを外部へ転送し、不要なサービスを無効化し、強固な管理者認証を徹底する必要があります。今回の注意喚起により、未パッチのゲートウェイは通常の保守対応ではなく、インシデント対応の最優先事項として扱うべき問題となりました。
16,000以上の組織からの最新インテリジェンスで、脅威検出率を58%向上。SOCにTIフィードを統合
翻訳元: https://cyberpress.org/hackers-exploit-critical-cisco-secure-email-gateway-flaw/
