Cisco schliesst bereits ausgenutzte Sicherheitslücke im Secure Email Gateway

(Source: heinng/AdobeStock)

(Source: heinng/AdobeStock)

Cisco hat eine Sicherheitswarnung zu einer kritischen Sicherheitslücke im Secure Email Gateway veröffentlicht. Die Schwachstelle CVE-2026-76519 erreicht auf der CVSS-Skala einen Wert von 9,8 von 10 Punkten. Gemäss Cisco ermöglicht sie Angreifern beliebige Dateien auf das Betriebssystem des angepeilten Geräts zu schreiben. Die Schwachstelle lasse sich aus der Ferne und ohne Authentifizierung ausnutzen. Angreifer könnten dadurch Befehle mit Root-Rechten ausführen.

Der Hersteller bestätigt, dass die Sicherheitslücke bereits aktiv ausgenutzt wird. Das Product Security Incident Response Team (PSIRT) von Cisco sei im Oktober auf die aktive Ausnutzung aufmerksam geworden. Laut einem Artikel von "Bleepingcomputer" handelt es sich um die zweite Zero-Day-Sicherheitslücke im Secure Email Gateway, deren aktive Ausnutzung innerhalb eines Monats bekannt wurde.

Fehler bei der Verarbeitung von E-Mail-Anhängen

Die Ursache liegt laut Cisco in der Funktion Advanced Malware Protection (AMP), die Dateianhänge fehlerhaft verarbeitet, wenn der File-Reputation-Dienst aktiviert ist. Für einen Angriff genüge es, eine E-Mail mit einem präparierten Anhang über ein anfälliges Gateway zu versenden. Betroffen seien physische und virtuelle Geräte von Cisco Secure Email Gateway mit einer anfälligen AsyncOS-Version.

Voraussetzung sei zudem, dass File Reputation aktiviert und einer E-Mail-Richtlinie zugewiesen ist. Ausserdem müsse eine Version der Content Scanner Tools vor 25.3.0.5525 im Einsatz stehen. Secure Email and Web Manager sowie Secure Web Appliance sind gemäss Cisco nicht betroffen.

Patches sind verfügbar

Cisco hat mehrere Sicherheitsupdates veröffentlicht. Die AsyncOS-Versionen 15.5.5-014 und 16.5.0-780 enthalten die Fehlerbehebung. Wer den Versionszweig 16.0 einsetzt, müsse auf eine Version mit Sicherheitsupdate wechseln. Organisationen mit einer Version vor AsyncOS 16.5 empfiehlt der Hersteller ein Update auf 16.5.0-780.

Alternativ lasse sich die Schwachstelle durch ein Update der Content Scanner Tools auf Version 25.3.0.5525 oder höher beheben. Dafür sei weder ein vollständiges AsyncOS-Upgrade noch ein Neustart des Geräts nötig. Einen Workaround gibt es laut Cisco nicht. Zusätzlich rät der Hersteller IT-Verantwortlichen, ihre Geräte auf Anzeichen einer Ausnutzung zu prüfen. Besteht der Verdacht auf eine Kompromittierung, empfiehlt Cisco weitere Massnahmen zur Bereinigung.

Auch bei einzelnen Geräten seiner Cloud-Lösung Secure Email Cloud hat Cisco nach eigenen Angaben Hinweise auf eine mögliche Kompromittierung entdeckt. Der Hersteller habe die betroffenen Kunden direkt kontaktiert und die notwendigen Schutzmassnahmen auf seiner eigenen Infrastruktur bereits umgesetzt. Die Bereinigungs- und Wiederherstellungsarbeiten bei den betroffenen Kunden dauerten noch an, wie Cisco schreibt.

Lesen Sie auch: Chinesische Hacker machen Cisco-Router zu Spionageplattformen. Den ganzen Artikel zur Hackergruppe "Fire Ant" lesen Sie hier. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.