شرکت سیسکو (Cisco) هشدار داده است که مهاجمان به‌صورت فعال از یک نقص امنیتی زیرو دِی (Zero-Day) در قابلیت Advanced Malware Protection (AMP) در محصول Secure Email Gateway بهره‌برداری می‌کنند.
جزئیات فنی و تأثیرات
یک مهاجم از راه دور و بدون نیاز به احراز هویت (Unauthenticated)، می‌تواند از این آسیب‌پذیری برای نوشتن فایل‌های دلخواه و اجرای دستورات با دسترسی root در سیستم‌عامل زیرساختی دستگاه استفاده کند. طبق گزارش PSIRT سیسکو، شواهدی از بهره‌برداری فعال از این نقص از اکتبر ۲۰۲۶ مشاهده شده است.
این نقص امنیتی ناشی از مدیریت نادرست پیوست‌های ایمیل در زمانی است که سرویس File Reputation فعال باشد. مهاجم با ارسال یک ایمیل حاوی پیوست مهندسی‌شده (Crafted Attachment) از طریق یک گیت‌وی آسیب‌پذیر، می‌تواند بدون هیچ‌گونه تعامل کاربر، دسترسی کامل به سیستم پیدا کند.
سیستم‌های آسیب‌پذیر
هر دو نسخه فیزیکی و مجازی Cisco Secure Email Gateway در صورتی آسیب‌پذیر هستند که شرایط زیر برقرار باشد:
- سرویس File Reputation (بخشی از Cisco AMP) فعال بوده و به یک Mail Policy اختصاص یافته باشد.
- نسخه Content Scanner Tools قدیمی‌تر از 25.3.0.5525 باشد.
لازم به ذکر است که محصولات Secure Email and Web Manager و Secure Web Appliance تحت تأثیر این آسیب‌پذیری نیستند.
روش شناسایی و بررسی
مدیران سیستم می‌توانند از طریق رابط کاربری وب در مسیر Mail Policies > Incoming or Outgoing Mail Policies > Advanced Malware Protection، وضعیت فعال بودن گزینه “Enable File Reputation” را بررسی کنند. همچنین برای چک کردن نسخه اسکنر، می‌توان از دستور contentscannerstatus در محیط CLI استفاده کرد (نسخه 25.2.0.5427.15.5.001 آسیب‌پذیر است).
راهکارهای اصلاحی و بازسازی
سیسکو اعلام کرده است که هیچ راهکار موقتی (Workaround) برای این نقص وجود ندارد و تنها راه حل، به‌روزرسانی به نسخه 25.3.0.5525 یا نسخه‌های جدیدتر در Content Scanner Tools است. این به‌روزرسانی نیازی به ری‌استارت یا ارتقای کلی نرم‌افزاری ندارد.
نکات حیاتی برای تیم‌های پاسخ به حادثه (IR):
- دسترسی Root: از آنجایی که مهاجمان دسترسی root دارند، می‌توانند ردپاهای خود را پاک کنند؛ بنابراین نبود شواهد در لاگ‌های داخلی دستگاه، لزوماً به معنای امن بودن آن نیست. بررسی لاگ‌های فایروال و شبکه در خارج از دستگاه الزامی است.
- دستگاه‌های مجازی: در صورت مشکوک شدن به نفوذ، توصیه می‌شود ابتدا داده‌های فارنزیک (Forensic) را حفظ کرده و سپس یک ماشین مجازی جدید با آخرین نسخه منتشر شده ایجاد کنید. وارد کردن فایل‌های پیکربندی قدیمی (Configuration Files) توصیه نمی‌شود.
- کلاسترهای سیسکو: مهاجم می‌تواند کلیدهای خصوصی SSH را از یک دستگاه متcompromise شده سرقت کرده و به سایر اعضای کلاستر نفوذ کند. در چنین شرایطی، بازسازی تمام اعضای کلاستر ضروری است.
توصیه‌های سخت‌سازی (Hardening)
سیسکو برای کاهش سطح حمله (Attack Surface)، اقدامات زیر را توصیه می‌کند:
- محدود کردن دسترسی دستگاه به اینترنت یا محدود کردن آن به میزبان‌های مورد اعتماد.
- جدا کردن ترافیک ایمیل و مدیریت (Management) در رابط‌های شبکه مجزا.
- غیرفعال کردن پروتکل‌های HTTP و FTP.
- ارسال لاگ‌ها به یک سرور خارجی (External Syslog Server).
- استفاده از احراز هویت SAML یا LDAP و تغییر رمز عبور پیش‌فرض مدیر.
