Une faille Cisco critique touchant Secure Email Gateway est déjà exploitée : un attaquant non authentifié peut agir sur l'appliance.

Cisco tire la sonnette d’alarme. Une faille Cisco critique est déjà exploitée par des attaquants dans Cisco Secure Email Gateway. L’éditeur l’a détaillée mercredi dans un avis de sécurité. En effet, le défaut permet à un expéditeur sans identifiant d’écrire des fichiers sur le système d’exploitation de l’appliance. Il ouvre ensuite la voie à l’exécution de commandes avec les droits les plus élevés.

Cette situation est préoccupante. En effet, l’attaque ne demande ni compte valide ni accès préalable au réseau interne. Autrement dit, un simple courriel suffit.

Une faille Cisco exploitée activement

Cisco Secure Email Gateway est une passerelle de messagerie. Elle filtre le courrier d’une organisation avant qu’il n’atteigne les boîtes de ses utilisateurs. Elle bloque notamment le spam et les logiciels malveillants. Par conséquent, elle se trouve en première ligne, souvent exposée à Internet.

Selon l’avis de Cisco, des attaquants exploitent déjà la vulnérabilité. Il ne s’agit donc pas d’un risque théorique. C’est pourquoi les équipes de sécurité doivent traiter ce dossier comme une urgence.

Par ailleurs, la gravité est qualifiée de critique. Cette qualification reflète deux éléments. D’abord, aucune authentification n’est nécessaire. Ensuite, le résultat potentiel est une prise de contrôle complète de l’équipement.

Comment fonctionne l’attaque

Le scénario décrit par Cisco est simple. D’abord, l’attaquant envoie un message contenant une pièce jointe spécialement conçue. Ce message transite par la passerelle, comme n’importe quel courriel légitime.

Si l’attaque réussit, la pièce jointe permet d’écrire des fichiers sur le système d’exploitation de l’appliance. L’attaquant n’a pas besoin de se connecter. En effet, il suffit que la passerelle traite le message.

L’écriture de fichiers arbitraires est un levier puissant. Par exemple, un fichier placé au bon endroit peut modifier le comportement du système. Il peut aussi déclencher l’exécution de code. Dans ce cas précis, Cisco indique que l’attaquant pourrait ensuite exécuter des commandes en tant que root.

Autrement dit, le compte root donne un contrôle total. Ainsi, l’intrus peut lire, modifier ou supprimer des données. Il peut également installer des outils persistants.

Pourquoi une passerelle de messagerie est une cible de choix

Une passerelle de messagerie voit passer tous les courriels d’une entreprise. Elle manipule donc des informations sensibles. En effet, ces messages contiennent des échanges internes, des documents et parfois des liens de réinitialisation de mots de passe.

De plus, ces appareils sont souvent considérés comme des boîtiers de confiance. Ils sont moins surveillés qu’un poste de travail ou qu’un serveur classique. Par ailleurs, les journaux y sont parfois peu exploités. Un intrus peut ainsi rester discret longtemps.

Enfin, la position réseau de l’appliance compte beaucoup. Elle communique avec la messagerie interne et avec Internet. Une fois compromise, elle peut servir de point d’appui pour progresser vers d’autres systèmes. Cette logique est fréquente avec les équipements de périmètre.

Les attaquants le savent bien. C’est pourquoi les produits de sécurité réseau et de messagerie sont régulièrement visés. En effet, ils offrent un accès stratégique avec un faible risque de détection.

Que faire face à cette faille Cisco ?

Les informations disponibles ne précisent pas tous les détails de correction. Il faut donc se référer en priorité à l’avis officiel de Cisco. Celui-ci indique les versions concernées, les correctifs et les éventuelles mesures de contournement.

Voici les actions à mener sans attendre :

1. Identifier toutes les appliances Cisco Secure Email Gateway, physiques ou virtuelles, présentes dans votre parc.
2. Consulter l’avis de sécurité publié par Cisco et vérifier si vos versions sont touchées.
3. Appliquer les correctifs dès qu’ils sont disponibles, ou mettre en place les mesures d’atténuation recommandées.
4. Examiner les journaux de l’appliance pour repérer des messages inhabituels, des pièces jointes suspectes ou des fichiers inattendus.
5. Restreindre l’accès d’administration de l’équipement aux seuls réseaux de gestion.

Il est également prudent de partir du principe qu’une compromission a pu avoir lieu. En effet, l’exploitation est déjà active. Un correctif appliqué tardivement ne suffit donc pas toujours. Par conséquent, une vérification d’intégrité s’impose. En cas de doute, isolez l’appliance et contactez le support de Cisco.

Par ailleurs, prévenez vos équipes de réponse aux incidents. Si des commandes ont été exécutées en tant que root, des identifiants stockés sur l’appareil pourraient être exposés. Dans ce cas, changez les secrets associés, notamment les comptes de service et les clés utilisées par la passerelle.

Ce qu’il faut retenir

• Cisco confirme l’exploitation active d’une vulnérabilité critique dans Secure Email Gateway.
• Un attaquant sans authentification peut ainsi écrire des fichiers sur le système de l’appliance.
• L’attaque passe par un courriel contenant une pièce jointe spécialement conçue.
• Par conséquent, en cas de succès, l’exécution de commandes en tant que root devient possible.
• Enfin, il faut consulter l’avis de Cisco, corriger rapidement et rechercher des traces de compromission.

Cette affaire rappelle une règle simple. En effet, les équipements de sécurité doivent eux aussi être mis à jour et surveillés de près. Sinon, l’outil censé protéger l’organisation devient la porte d’entrée des attaquants.

Source : Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability