Cisco подтвердила атаки на почтовые шлюзы: одно письмо открывает root-доступ

Cisco официально подтвердила серию взломов своих почтовых шлюзов, которые позволяли атакующим получить полный контроль над устройствами. Проблема затрагивает модели Cisco Secure Email Gateway (SEG), ранее известные как Email Security Appliance (ESA), и связана с ошибкой в обработке вложений. Уязвимость, получившая идентификатор CVE-2024-20419, даёт возможность удалённого выполнения кода без какой-либо аутентификации.

Злоумышленнику достаточно отправить на уязвимый шлюз одно электронное письмо со специально подготовленным содержимым, чтобы выполнить произвольные команды с правами root. Никакого взаимодействия со стороны получателя не требуется. В корпоративном блоге Cisco сообщила, что обнаружила следы активной эксплуатации уязвимости в дикой природе.

Атаки начались как минимум за несколько недель до публикации патча, и компания не исключает, что часть инцидентов осталась незамеченной. Точное число скомпрометированных организаций не раскрывается. Проблема кроется в механизме сканирования вложений.

При обработке определённых типов файлов почтовый шлюз не проверял границы буфера, что приводило к переполнению и позволяло внедрить вредоносный код. После успешной эксплуатации атакующий мог читать всю проходящую почту, изменять настройки фильтрации и использовать шлюз как плацдарм для дальнейшего продвижения по сети. Cisco выпустила обновления прошивки для всех поддерживаемых версий Secure Email Gateway.

Компания настоятельно рекомендует установить патч немедленно, даже если устройства работают в изолированных средах. Для тех, кто не может обновиться сразу, предложены временные меры — отключение автоматической обработки определённых форматов вложений. Инцидент вновь поднимает вопрос о безопасности периметровых устройств, которые часто остаются без своевременного обновления.

Почтовые шлюзы, как и VPN-концентраторы, входят в число наиболее привлекательных целей для шпионских групп: компрометация одного такого устройства даёт доступ к огромному массиву корпоративных коммуникаций. Эксперты связывают атаки с группировкой, которая ранее атаковала сетевые устройства Barracuda и Zimbra. Характер эксплойта и методы закрепления в системе указывают на поставщика услуг начального доступа, который затем продаёт скомпрометированные шлюзы другим злоумышленникам.

Для пользователей мессенджеров эта история служит напоминанием: даже если вы переписываетесь в защищённых каналах, корпоративная почта часто остаётся слабым звеном. Письма с паролями, ссылками на конфиденциальные чаты или архивами переписки проходят через шлюзы, которые могут быть полностью прозрачны для посторонних. Cisco подчёркивает, что уязвимость не затрагивает облачные версии почтовой защиты, а касается только физических и виртуальных устройств, развёрнутых на площадке заказчика.

Тем не менее, многие крупные компании и госструктуры используют именно такие решения. Пока нет данных о том, были ли среди жертв операторы критической инфраструктуры или государственные органы. Однако сам факт того, что одно письмо способно превратить дорогостоящий шлюз в инструмент слежки, заставляет пересмотреть подход к сегментированию сети и мониторингу почтовых потоков.

Компания также обновила рекомендации по аудиту логов: администраторам советуют искать аномальные изменения в конфигурации, появление новых учётных записей и подозрительные исходящие соединения от почтовых устройств. Cisco обещает выпустить дополнительные индикаторы компрометации в ближайшие дни.