Ciscoは、Cisco Secure Email Gatewayに、すでに悪用が確認されている脆弱性が存在することを公表しました。この脆弱性を突かれると、認証されていないリモートの攻撃者が任意のファイルを書き込み、root権限でコマンドを実行できます。
この脆弱性は「CVE-2026-76519」として追跡されており、CVSSスコアは9.8です。特定のファイルレピュテーションとコンポーネントのバージョン条件が重なった場合に、Advanced Malware Protection機能が影響を受けます。
Ciscoは社内のセキュリティスキャンでこの脆弱性を特定し、修正版をリリースしました。回避策はありません。
原因は、File Reputationサービスが有効な状態でのメール添付ファイルの不適切な処理にあります。攻撃者は、細工した添付ファイルを含むメールを、影響を受けるゲートウェイ経由で送信することで、この脆弱性を悪用できます。
攻撃が成功すると、基盤となるオペレーティングシステム上で任意のファイルを書き込まれ、root権限でコマンドを実行されるおそれがあります。
Ciscoのアドバイザリは、この脆弱性をCWE-23（相対パストラバーサル）に分類しています。CVSSベクターは、ネットワーク経由で攻撃可能であり、攻撃の複雑さは低く、必要な権限もユーザー操作も不要であることを示しています。
影響を受けるのは、物理・仮想を問わずCisco Secure Email Gatewayのアプライアンスです。対象となるのは、脆弱なAsyncOSソフトウェアを実行し、File Reputationを有効にしてメールポリシーに割り当て、さらにバージョン25.3.0.5525より前のContent Scanner Toolsを使用している環境です。
管理者は、受信または送信メールポリシーのAdvanced Malware Protection設定で、File Reputationの設定を確認できます。インストールされているContent Scanner Toolsのバージョンは、CLIコマンドcontentscannerstatusで確認できます。
Ciscoは、各ソフトウェアブランチに対応する修正版として、AsyncOS 15.5.5-014と16.5.0-780を挙げています。AsyncOS 16.0を使用している場合は、修正版への移行が必要です。Ciscoは、16.5より前のリリースを使用している顧客に対し、16.5.0-780への移行を強く推奨しています。
ライセンスを持つサポート対象のAsyncOSリリースであれば、Content Scanner Tools 25.3.0.5525以降でも修正を適用できます。このコンポーネントの更新には、ソフトウェアのアップグレードも製品の再起動も必要ありません。
自動更新を無効にしている管理者は、contentscannerupdateで手動更新を実行し、その後インストールされているバージョンを確認してください。Ciscoによれば、同社のSecure Email Cloud Gatewayのインフラには、修正済みのコンポーネントがすでに展開されています。
管理者はgrep "System Security" system_logsでアプライアンスのログを確認し、クラスタの全メンバーで同じ確認を繰り返す必要があります。メッセージは、侵害の疑い、セキュリティスキャンの未完了、あるいは侵害の兆候なしのいずれかを示します。
ただしCiscoは、root権限を得た攻撃者が痕跡を隠したり削除したりできると警告しています。そのため組織は、外部のファイアウォールやネットワークのログも照合し、影響を受けたゲートウェイに関わる不審な転送がないかを確認すべきです。
物理アプライアンスで侵害が疑われる場合、CiscoはTechnical Assistance Centerへの連絡を推奨しています。仮想アプライアンスの場合は、アップグレードによってフォレンジックデータとログが失われるため、再構築の前にフォレンジック証拠を保全する必要があります。
復旧に向けたガイダンスには、新しい仮想マシンの展開、以前の設定ファイルをインポートしない設定の再構築、認証情報と暗号関連の資材の更新が含まれます。
侵害されたクラスタのSSH鍵によって、ほかのメンバーにも影響が及ぶおそれがあるため、Ciscoは影響を受けたクラスタの全メンバーを復旧するよう推奨しています。また、同社に連絡したクラウド顧客も、可能な限り認証情報と暗号関連の資材を更新すべきです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-cisco-email-gateway-zero-day/
