SQL injection trong Cisco Secure Email Gateway cho phép thực thi lệnh với quyền root

Một lỗ hổng trong chức năng phân tích email của Cisco AsyncOS Software for Cisco Secure Email Gateway có thể cho phép kẻ tấn công từ xa, không cần xác thực, thực thi các lệnh tùy ý với quyền root trên hệ điều hành nền tảng. Lỗ hổng này bắt nguồn từ việc kiểm tra không đầy đủ trong logic phân tích email. Kẻ tấn công có thể khai thác bằng cách gửi một email được tạo đặc biệt chứa các câu lệnh SQL độc hại qua thiết bị bị ảnh hưởng. Khai thác thành công có thể cho phép kẻ tấn công thực thi các câu lệnh SQL tùy ý, dẫn đến thực thi lệnh với quyền root trên hệ điều hành nền tảng.

Cisco Secure Email Gateway, gồm thiết bị vật lý và ảo, bị ảnh hưởng không phụ thuộc cấu hình. Trạng thái mặc định trong bản ghi là unknown.

• Các phiên bản được bản ghi cấu trúc đánh dấu affected gồm 13.0.0-392, 13.0.5-007, 13.5.1-277, 13.5.4-038, 14.0.0-698, 14.2.0-620, 14.2.1-020, 14.3.0-032, 15.0.0-104, 15.0.1-030, 15.0.3-002, 15.0.5-016, 15.5.0-048, 15.5.1-055, 15.5.2-018, 15.5.3-022, 15.5.4-012, 16.0.0-050, 16.0.0-054, 16.0.1-017, 16.0.2-112, 16.0.3-044 và 16.0.4-016.
• Theo Cisco, nhánh 15.5 and earlier có bản sửa đầu tiên là 15.5.5-014.
• Nhánh 16.0 có bản sửa đầu tiên là 16.0.4-302.
• Nhánh 16.5 có bản sửa đầu tiên là 16.5.0-780. Bản ghi cấu trúc không liệt kê phiên bản affected cụ thể của nhánh này, vì vậy không suy diễn thêm phạm vi ngoài thông tin Cisco đã công bố.
• Cisco xác nhận Secure Email and Web Manager và Secure Web Appliance không bị ảnh hưởng.

Lỗ hổng nằm trong logic phân tích email của Cisco AsyncOS Software for Cisco Secure Email Gateway và thuộc nhóm CWE-89, SQL injection. Kẻ tấn công có thể gửi một email được tạo đặc biệt chứa các câu lệnh SQL độc hại qua thiết bị bị ảnh hưởng; yêu cầu xác thực và tương tác của người dùng không được đặt ra. Luồng khai thác ở mức khái quát là: (1) thiết bị nhận và phân tích email do kẻ tấn công kiểm soát, (2) dữ liệu không được kiểm tra đầy đủ được đưa vào thao tác SQL, và (3) câu lệnh SQL tùy ý dẫn đến thực thi lệnh với quyền root trên hệ điều hành nền tảng. Cisco xác nhận phạm vi gồm cả Secure Email Gateway dạng vật lý và ảo, không phụ thuộc cấu hình thiết bị. Các chi tiết công khai chưa xác định trường email cụ thể, truy vấn nội bộ hoặc cơ chế chính xác nối việc thực thi SQL với thực thi lệnh hệ điều hành.

Lỗ hổng có thể bị khai thác qua mạng bằng cách gửi email được tạo đặc biệt qua Cisco Secure Email Gateway. Bản ghi mô tả việc khai thác không cần xác thực, không cần người dùng tương tác và có độ phức tạp thấp. Bản ghi đánh dấu lỗ hổng là đã bị khai thác trong thực tế và có public exploit. Cisco cũng cho biết đã xác định hoạt động độc hại trên một số thiết bị Cisco Secure Email Cloud và đã trực tiếp liên hệ với các khách hàng liên quan. Cú pháp payload hoàn chỉnh và mã khai thác công khai cụ thể không được nêu trong các nguồn đã kiểm tra.

Lỗ hổng có thể cho phép thực thi các câu lệnh SQL tùy ý và từ đó thực thi lệnh tùy ý với quyền root trên hệ điều hành của thiết bị. Hậu quả kỹ thuật có thể gồm đọc hoặc thay đổi dữ liệu, thay đổi cấu hình và làm gián đoạn dịch vụ email, nhưng phạm vi thực tế phụ thuộc vào quyền truy cập mà tiến trình bị khai thác có được trên từng thiết bị. Trong môi trường cluster, việc lộ khóa SSH riêng có thể cho phép kẻ tấn công tiếp tục ảnh hưởng đến các thành viên khác. Nguồn công khai không xác định rằng mọi hệ thống bị ảnh hưởng đều đã bị truy cập dữ liệu hoặc bị thay đổi, vì vậy cần điều tra riêng từng thiết bị.

Khai thác thành công có thể trao quyền thực thi lệnh root trên thiết bị xử lý email, tạo nguy cơ truy cập, thay đổi hoặc làm gián đoạn dữ liệu và cấu hình của gateway. Việc kiểm soát thiết bị có thể ảnh hưởng đến hoạt động tiếp nhận, phân tích và chuyển tiếp email của tổ chức. Nếu thiết bị bị xâm nhập là thành viên cluster, các khóa SSH riêng dùng cho liên lạc giữa các thành viên có thể bị truy cập, từ đó tạo nguy cơ ảnh hưởng đến các thành viên khác. Cisco đã xác định dấu hiệu hoạt động độc hại trên một số thiết bị Cisco Secure Email Cloud, vì vậy việc xử lý không nên chỉ giới hạn ở nâng cấp phần mềm nếu có dấu hiệu xâm nhập.

1. Nâng cấp Cisco AsyncOS for Cisco Secure Email Gateway lên bản sửa phù hợp với nhánh đang vận hành: 15.5.5-014 cho 15.5 and earlier, 16.0.4-302 cho nhánh 16.0, hoặc 16.5.0-780 cho nhánh 16.5. Cisco khuyến nghị các hệ thống đang chạy trước nhánh 16.5 chuyển sang 16.5.0-780.
2. Không có workaround nào giải quyết lỗ hổng này. Các biện pháp tạm thời không thay thế cho việc nâng cấp lên bản sửa.
3. Nếu nghi ngờ thiết bị vật lý bị khai thác, giữ lại bằng chứng và liên hệ Cisco TAC để được hỗ trợ điều tra.
4. Với thiết bị ảo bị nghi ngờ xâm nhập, ghi nhận dữ liệu pháp chứng trước khi thao tác, triển khai máy ảo mới chạy bản sửa, xây dựng lại cấu hình, thay mới thông tin xác thực và vật liệu mật mã, sau đó tiếp tục giám sát hành vi bất thường.
5. Nếu một thành viên cluster bị xâm nhập, khôi phục trạng thái an toàn cho từng thành viên trong cluster, vì khóa SSH riêng dùng cho liên lạc giữa các thành viên có thể đã bị lộ.
6. Hạn chế quyền truy cập Internet vào appliance; nếu bắt buộc phải truy cập từ Internet, chỉ cho phép các máy chủ tin cậy qua các cổng và giao thức cần thiết. Cisco cho biết toàn bộ thiết bị Cisco Secure Email Cloud đã được nâng cấp lên 16.5.0-780, nhưng khách hàng nên xác nhận trạng thái dịch vụ của môi trường mình với Cisco.

1. Kiểm kê tất cả Cisco Secure Email Gateway dạng vật lý và ảo, xác định phiên bản AsyncOS và các thiết bị thuộc cùng cluster.
2. Trên từng thiết bị trong cluster, kiểm tra mail_logs để tìm các câu lệnh SQL đáng ngờ. Cisco cung cấp mẫu kiểm tra sau:

cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

1. Đối chiếu với network logs và firewall logs bên ngoài thiết bị để tìm các lượt tải lên bất thường từ thiết bị tới địa chỉ IP bên ngoài hoặc lượt tải xuống từ địa chỉ IP độc hại.
2. Nếu phát hiện dấu hiệu nghi ngờ, lưu giữ bằng chứng pháp chứng trước khi triển khai lại hoặc xây dựng lại thiết bị. Việc không thấy log đáng ngờ không chứng minh thiết bị an toàn, vì kẻ tấn công có thể xóa hoặc che giấu bằng chứng.
3. Quản trị viên Cisco Secure Email Cloud có thể không tự kiểm tra được các chỉ dấu này nếu không có quyền CLI; cần phối hợp với Cisco khi nghi ngờ bị xâm nhập.