if ( !emtpy($headline_subheadline ) ) : ?>
Cisco a publié des mises à jour logicielles pour corriger la faille, mais prévient qu’il n’existe aucune solution de contournement pour remédier à la vulnérabilité.
endif; ?>
Une vulnérabilité critique affectant le produit Secure Email Gateway de Cisco permet aux attaquants de
écrire des fichiers arbitraires sur le système d’exploitation sous-jacent. Dans un avis publié mercredi, la société a exhorté ses clients à appliquer les correctifs disponibles après avoir confirmé que la faille était exploitée de manière sauvage.
La faille affecte la fonctionnalité Advanced Malware Protection (AMP) du produit et provient d’une mauvaise gestion des pièces jointes aux e-mails lorsque le service File Reputation est activé. En envoyant un e-mail contenant une pièce jointe spécialement conçue via une appliance vulnérable, un attaquant peut exécuter des commandes avec les privilèges root.
Cisco a publié des mises à jour logicielles pour corriger la faille, mais prévient qu’il n’existe aucune solution de contournement pour remédier à la vulnérabilité.
L’exploitation est soumise à des conditions préalables
Suivie comme CVE-2026-76519, la vulnérabilité affecte les appareils Cisco Secure Email Gateway physiques et virtuels exécutant le logiciel Cisco AsyncOS vulnérable, à condition que deux conditions soient remplies. Le service File Reputation doit être activé et attribué à une stratégie de messagerie, et la version de Content Scanner Tools est antérieure à 25.3.0.5525.
Le service File Reputation fait partie de Cisco AMP, qui permet d’évaluer la réputation des fichiers transitant par la passerelle de messagerie. Dans ce cas, une mauvaise gestion des pièces jointes crée une opportunité pour un attaquant d’écrire des fichiers arbitraires sur le système d’exploitation sous-jacent. Une exploitation réussie peut alors conduire à l’exécution de commandes au niveau racine, permettant potentiellement une nouvelle compromission de l’appliance.
Cisco prévient que les attaquants qui compromettent une appliance pourraient accéder aux clés SSH privées utilisées pour s’authentifier entre les membres d’un cluster d’appliances, leur permettant potentiellement de compromettre d’autres membres du cluster. Les attaquants disposant d’un accès root peuvent également supprimer ou dissimuler les preuves de leur activité.
Cisco recommande de vérifier les journaux système de l’appliance pour rechercher des indicateurs de compromission à l’aide de la commande grep « System Security » system_logs. Cependant, un résultat propre ne devrait pas remplacer une enquête plus large : le fournisseur conseille aux administrateurs de recouper les journaux du réseau externe et du pare-feu pour détecter tout trafic suspect, y compris les téléchargements inattendus à partir des appareils concernés ou les téléchargements à partir d’adresses IP malveillantes.
Des correctifs sont disponibles, mais la réponse aux incidents est importante
Cisco répertorie AsyncOS 15.5.5-014 et 16.5.0-780 comme versions corrigées pour les branches logicielles correspondantes. Il est conseillé aux clients sur AsyncOS 16.0 de migrer vers une version fixe. Le fournisseur a également déclaré que le correctif est disponible via Content Scanner Tools version 25.3.0.5525 et ultérieure, et que la mise à jour des outils ne nécessite pas de mise à niveau logicielle ni de redémarrage de l’appareil.
Pour les appareils virtuels potentiellement compromis, Cisco recommande de conserver les preuves médico-légales avant de reconstruire le système, de déployer une machine virtuelle propre, de reconstruire sa configuration sans importer les fichiers de configuration précédents et de renouveler les informations d’identification et les éléments cryptographiques.
Les organisations doivent également évaluer d’autres appliances dans le même cluster. La société a déclaré qu’elle avait déjà déployé le package Content Scanner Tools fixe pour son environnement Secure Email Cloud Gateway. L’avis ne divulgue pas le nombre de victimes ni n’identifie les attaquants à l’origine de l’exploitation.
