Cisco ha publicado una actualización y una guía de comprobación tras confirmar que una vulnerabilidad crítica en Secure Email Gateway está siendo explotada en entornos reales. El fallo permite a un atacante que envía un correo con un adjunto manipulado escribir archivos en el sistema operativo del appliance y, si la explotación tiene éxito, ejecutar comandos con privilegios de root.
Qué falla y cuándo se detectó
La vulnerabilidad, detectada por los propios escaneos internos de Cisco y trazada con un identificador CVE, afecta a gateways con el servicio File Reputation activado y con la versión del paquete Content Scanner Tools anterior a la 25.3.0.5525. Cisco declaró que detectó intentos de explotación en octubre y que la corrección ya se distribuyó en lanzamientos previos del software.
Qué cambia para administradores y dueños de sitios
La condición para que un appliance sea vulnerable requiere que se cumplan ambas circunstancias: el servicio File Reputation (parte de Advanced Malware Protection que procesa adjuntos) debe estar asignado a una política de correo y el Content Scanner Tools debe ser una versión anterior a la 25.3.0.5525. Si su gateway cumple esos requisitos, está expuesto a la posibilidad de que un remitente sin autenticación deje un adjunto especialmente diseñado y obtenga ejecución de comandos como root.
Cómo comprobar si su gateway está protegido
- Verificar que File Reputation está activo: en la interfaz administrativa revisar Mail Policies > Incoming Mail Policies (o Outgoing Mail Policies) > Advanced Malware Protection y comprobar la casilla Enable File Reputation en la política pertinente.
- Comprobar la versión del Content Scanner Tools desde la línea de comandos: ejecutar contentscannerstatus en el CLI del appliance. Ese comando muestra la versión instalada y la fecha de la última actualización; debe aparecer 25.3.0.5525 o posterior para estar protegido por la actualización del escáner.
Cómo aplicar la corrección
Cisco indica que la solución se distribuye de dos formas: mediante builds de AsyncOS que incluyen el arreglo (las compilaciones marcadas como fijas en la nota de hardening) y mediante una actualización del paquete Content Scanner Tools (versión 25.3.0.5525 o superior) que instala sin necesidad de actualizar todo el software ni de reiniciar el appliance. Para gateways con actualizaciones automáticas del escáner activadas no se requiere acción adicional salvo confirmar la versión con contentscannerstatus.
Acciones recomendadas y limitaciones
- Si las actualizaciones automáticas están desactivadas, ejecutar contentscannerupdate desde el CLI o habilitar las actualizaciones en Security Services > Service Updates para recibir el paquete.
- Cisco recomienda mover gateways que estén en versiones antiguas de AsyncOS a versiones que incluyan los builds corregidos; sin embargo, la compañía señala que para determinados lanzamientos la única confirmación fiable es la versión del escáner mostrada por contentscannerstatus.
- No existe una solución alternativa segura documentada: si un appliance virtual muestra indicios de compromiso, Cisco aconseja reconstruirlo y generar nuevas credenciales, ya que actualizar una instancia comprometida puede destruir datos forenses y registros.
Detección de intentos de explotación y respuesta ante compromisos
Cisco publicó una comprobación simple que puede ejecutarse en el equipo para buscar mensajes relacionados en los registros: buscar líneas con «System Security» en system_logs (por ejemplo, con grep «System Security» system_logs). Ese chequeo devuelve varios mensajes según el resultado y debe ejecutarse en todos los miembros de un clúster. No obstante, un resultado limpio no garantiza ausencia de compromiso, porque un atacante con privilegios de root podría borrar o manipular las evidencias.
Por ello, Cisco pide revisar también registros de firewall y tráfico de red fuera del dispositivo para detectar subidas inesperadas a IP externas o descargas desde destinos maliciosos. Para appliances físicos, la compañía solicita contactar con TAC y habilitar acceso remoto para que sus ingenieros puedan investigar. Para appliances virtuales con indicios de compromiso recomienda restaurar los miembros del clúster afectados y renovar claves y material criptográfico cuando sea posible.
Contexto y recomendaciones finales
Esta es la segunda vulnerabilidad en Secure Email Gateway que Cisco confirma como explotada en poco tiempo; la anterior, divulgada en septiembre, era un fallo de inyección SQL que también permitía obtener ejecución como root a través de correos especialmente formados. Administradores de correo y operadores de gateway deben priorizar la verificación de la versión del Content Scanner Tools y la configuración de File Reputation, aplicar la actualización del escáner o mover las máquinas a builds corregidos, y seguir las indicaciones de Cisco si detectan signos de compromiso.
Lee también:
- Qué son los Common Mark Certificates y cómo permiten mostrar logos sin marca registrada
- La UE enfrenta dificultades prácticas para aplicar la Cyber Resilience Act a productos digitales
Fuente: The Hacker News
