Cisco-ի տվյալներով՝ դարպասները խոցելի են միայն այն դեպքում, երբ նամակների մշակման որևէ կանոնի համար միացված է File Reputation-ը, իսկ սկանավորիչը հնացած է։ Սկանավորիչի ուղղված տարբերակի տեղադրումը կարող է վերացնել խոցելիությունն առանց վերագործարկման։
The Hacker News-ի հաղորդմամբ՝ Cisco-ն հոկտեմբերի 14-ին զգուշացրել է, որ հարձակվողներն օգտագործում են Secure Email Gateway-ի կրիտիկական խոցելիությունը։ Միացյալ Նահանգների կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը, որը հայտնի է CISA անվամբ, հոկտեմբերի 14-ի ծանուցմամբ հաստատել է, որ խոցելիությունը ներառվել է իր «Հայտնի օգտագործվող խոցելիություններ» ցանկում։ Այդպիսով դրա վրա տարածվում է դաշնային քաղաքականությունը, որով ուղղումների առաջնահերթությունը որոշվում է ըստ ռիսկի։
Դարպասը զտում է կազմակերպության էլեկտրոնային նամակները՝ անցանկալի նամակներից, վնասաբեր ծրագրերից և այլ սպառնալիքներից պաշտպանելու համար։ Cisco-ն AsyncOS-ի ուղղված տարբերակները թողարկել է սեպտեմբերի 14-ին՝ անվտանգության ամրապնդման թարմացմամբ, որը, ընկերության խոսքով, վերացնում էր նաև այս խոցելիությունը։ Cisco-ն խոցելիության ակտիվ օգտագործման մասին տեղեկացել է հոկտեմբերին։
Գործակալության ծանուցման մեջ Cisco-ի խոցելիության գրանցման համարը՝ CVE-2026-76519-ը, նշված է որպես «Հայտնի օգտագործվող խոցելիություններ» (KEV) ցանկում ավելացված չորս խոցելիություններից մեկը։ Գործակալության խոսքով՝ դրանք ցանկում ներառվել են ակտիվ օգտագործման ապացույցների հիման վրա։
«Անվտանգության թարմացումների առաջնահերթության սահմանում՝ ըստ ռիսկի» վերնագրով 26-04 պարտադիր գործառնական հրահանգը տարածվում է միայն Միացյալ Նահանգների դաշնային գործադիր իշխանության քաղաքացիական գերատեսչությունների վրա։ Այն պահանջում է առաջնահերթ արագ վերացնել ցանկում ներառված բարձր ռիսկի խոցելիությունները՝ համացանցից հասանելի այն համակարգերում, որտեղ խոցելիության օգտագործումը հարձակվողներին համակարգի լիակատար վերահսկողություն է տալիս։ Այս մոտեցմամբ գերատեսչությունները պետք է հետաձգեն ավելի ցածր ռիսկի խոցելիությունների ուղղությամբ գործողությունները։
Գործակալության խոսքով՝ հրահանգը նաև հիմնական պահանջներ է սահմանում այն մասին, թե երբ գերատեսչությունները պետք է ստուգեն՝ արդյոք հարձակվողները համակարգ են ներթափանցել նախքան ուղղման տեղադրումը։ Այս պահանջով խոցելիության վերացումը տարանջատվում է հարձակվողների՝ արդեն իսկ ձեռք բերած հնարավոր հասանելիության հետաքննությունից։
Հատուկ ձևավորված կցորդը կարող է հարձակվողին թույլ տալ խոցելի սարքերում հրամաններ կատարել root օգտահաշվի իրավունքներով․ Cisco-ն հորդորում է տեղադրել սկանավորման գործիքների շտկված փաթեթը կամ ծրագրային ապահովման շտկված թողարկումը։
3 րոպե
Հրահանգը պարտադիր չէ նշված դաշնային շրջանակից դուրս գտնվող կազմակերպությունների համար։ Այդուհանդերձ, գործակալությունը բոլոր կազմակերպություններին հորդորում է խոցելիությունները կառավարել ըստ ռիսկի և առաջնահերթ վերացնել KEV ցանկում ներառված խոցելիությունները։
BleepingComputer-ը հոկտեմբերի 14-ին հայտնել է, որ Cisco-ի հաղորդմամբ՝ ընկերությունը պաշտպանական միջոցներ է կիրառել ամպային համակարգերում և կապվել Cisco Secure Email Cloud-ի այն սարքերի սեփականատերերի հետ, որոնց սարքերում հայտնաբերել է հնարավոր ներթափանցման նշաններ։ Ընկերությունն արդեն տեղադրել է ուղղված սկանավորիչն իր կառավարմամբ գործող ամպային դարպասներում, ուստի այդ հաճախորդներն ուղղումը ստանալու համար որևէ գործողություն անելու կարիք չունեն։ Նրանց ադմինիստրատորները կարող են չունենալ ներթափանցման նշանների ստուգումը գործարկելու համար անհրաժեշտ հրամանային տողի հասանելիությունը։
Cisco-ի հաղորդմամբ՝ ընկերությունը վերացնում է հնարավոր ներթափանցման հետևանքներն ու վերականգնում ամպային սարքերը։ Այն խստորեն խորհուրդ է տալիս ծանուցված հաճախորդներին վերականգնել սարքի անվտանգ կարգավորումները՝ հնարավորության դեպքում փոխարինելով սարքում տեղադրված մուտքի նույնականացման տվյալներն ու գաղտնագրային նյութերը, օրինակ՝ անվտանգության բանալիները։ Cisco-ն նաև խորհուրդ է տալիս սահմանափակել սարքի հասանելիությունը և կիրառել հասանելիության վերահսկման խիստ միջոցներ։
Ծրագրային ուղղումը վերացնում է խոցելիությունը, իսկ Cisco-ի վերականգնման խորհուրդները վերաբերում են այն սարքերին, որոնք կարող են արդեն ներթափանցման ենթարկված լինել։ Cisco-ն խորհուրդ է տալիս ցանցային պաշտպանության համակարգի և ցանցի գրանցամատյաններում ստուգել կասկածելի գործողությունները, այդ թվում՝ արտաքին կամ կասկածելի IP հասցեներից ներբեռնումներն ու այդ հասցեներ վերբեռնումները։ Օպերացիոն համակարգի ադմինիստրատորի ամենաբարձր՝ root արտոնություններով հրամաններ կատարելու հնարավորություն ունեցող հարձակվողները կարող են ջնջել խոցելիության օգտագործման ապացույցները։
Խոցելիության վտանգավորությունը գնահատվել է 9,8 միավոր՝ 10 հնարավորից։ Այն առաջացել է էլեկտրոնային նամակների կցորդների ոչ պատշաճ մշակման պատճառով՝ Cisco-ի կցորդների պաշտպանության Advanced Malware Protection գործառույթում։ Հարձակվողին համակարգ մուտք գործելու կարիք չկա․ հատուկ պատրաստված կցորդը խոցելի դարպասով ուղարկելը կարող է նրան թույլ տալ ֆայլեր գրել դարպասի օպերացիոն համակարգում և հրամաններ կատարել root արտոնություններով։
AsyncOS-ի խոցելի տարբերակներով աշխատող ֆիզիկական և վիրտուալ դարպասները խոցելի են միայն այն դեպքում, երբ միաժամանակ առկա են այս երկու պայմանները․
Secure Email and Web Manager-ը և Secure Web Appliance-ն այս խոցելիությունից չեն տուժում։
Content Scanner Tools-ի 25.3.0.5525 կամ ավելի նոր տարբերակը վերացնում է խոցելիությունն առանց AsyncOS-ի թարմացման կամ վերագործարկման։ Cisco-ն սկանավորիչի թարմացումը հասանելի է դարձնում AsyncOS-ի լիցենզավորված և աջակցվող տարբերակների համար։ Խոցելիությունը շրջանցող ժամանակավոր լուծում չկա։
The Register-ը հոկտեմբերի 14-ին հայտնել է, որ Cisco-ն նաև խորհուրդ է տալիս AsyncOS-ի՝ 16.5-ից հին տարբերակներ օգտագործող հաճախորդներին անցնել 16.5.0-780 տարբերակին։ Այդ խորհուրդը չի փոխարինում այս խոցելիությունը միայն սկանավորիչի թարմացմամբ վերացնելու հնարավորությանը։
| Ծրագրային տարբերակների շարք կամ բաղադրիչ | Առաջին ուղղված տարբերակ կամ անհրաժեշտ գործողություն |
|---|---|
| AsyncOS 15.5 | 15.5.5-014 |
| AsyncOS 16.0 | AsyncOS-ի ուղղված տարբերակ չկա․ անցնել ուղղված տարբերակի |
| AsyncOS 16.5 | 16.5.0-780 |
| Content Scanner Tools՝ AsyncOS-ի լիցենզավորված և աջակցվող տարբերակներում | 25.3.0.5525 կամ ավելի նոր |
AsyncOS 16.0.4-302-ը, որով ուղղվել էր սեպտեմբերյան մեկ այլ՝ SQL ներարկման խոցելիությունը, այս խոցելիությունը չի վերացնում։ SQL ներարկումը հարձակվողին թույլ է տալիս միջամտել տվյալների բազայի հրամաններին։ Cisco-ն չի հստակեցրել, թե սկանավորիչի թարմացման համար որ տարբերակներն են համարվում լիցենզավորված և աջակցվող։ Եթե դարպասը շարունակում է աշխատել 16.0 տարբերակով, ադմինիստրատորները պետք է ստուգեն տեղադրված սկանավորիչի տարբերակը։
Ադմինիստրատորները պետք է հրամանային տողի միջերեսում գործարկեն contentscannerstatus հրամանը և համոզվեն, որ տեղադրված է 25.3.0.5525 կամ ավելի նոր տարբերակ՝ նույնիսկ եթե ավտոմատ թարմացումները միացված են։ Եթե դրանք անջատված են, ադմինիստրատորները կարող են գործարկել contentscannerupdate հրամանը կամ միացնել ավտոմատ թարմացումները «Անվտանգության ծառայություններ > Ծառայությունների թարմացումներ» (Security Services > Service Updates) բաժնում։
Խոցելի լինելու մյուս պայմանը ստուգելու համար կառավարման վեբ միջերեսում պետք է ստուգել «Միացնել File Reputation-ը» (Enable File Reputation) վանդակը՝ «Նամակների մշակման կանոններ > Մուտքային նամակների մշակման կանոններ > Advanced Malware Protection» (Mail Policies > Incoming Mail Policies > Advanced Malware Protection) բաժնում կամ ելքային նամակների մշակման կանոնների (Outgoing Mail Policies) համապատասխան կարգավորումներում։
Cisco-ն խորհուրդ է տալիս կլաստերի՝ միմյանց միացված դարպասների խմբի յուրաքանչյուր անդամի վրա գործարկել համակարգային գրանցամատյաններով ներթափանցման նշանները հայտնաբերող իր ստուգումը։ Նշանների բացակայությունը չի ապացուցում, որ սարքն անվտանգ է, քանի որ root հասանելիություն ունեցող հարձակվողը կարող է հեռացնել կամ թաքցնել ապացույցները։ Ադմինիստրատորները պետք է ուսումնասիրեն նաև դարպասից դուրս պահվող՝ ցանցային պաշտպանության համակարգի և ցանցի գրանցամատյանները։
| Համակարգային գրանցամատյանի հաղորդագրություն | Առաջարկվող գործողություն |
|---|---|
Համակարգի անվտանգություն․ հայտնաբերվել է հնարավոր ներթափանցման նշան։ Հետագա խորհուրդների համար կապվեք տեխնիկական աջակցության կենտրոնի հետ։ | Հետևել Cisco-ի վերականգնման խորհուրդներին և կապվել նրա տեխնիկական աջակցության կենտրոնի հետ։ |
Համակարգի անվտանգություն․ անվտանգության ստուգումը չի ավարտվել։ Հետագա խորհուրդների համար կապվեք տեխնիկական աջակցության կենտրոնի հետ։ | Աջակցության համար կապվել Cisco-ի տեխնիկական աջակցության կենտրոնի հետ։ |
Համակարգի անվտանգություն․ ներթափանցման նշան չի հայտնաբերվել։ | Անհրաժեշտության դեպքում անցնել ծրագրային ապահովման ուղղված տարբերակի․ նաև ստուգել արտաքին գրանցամատյանները, քանի որ ապացույցները կարող են ջնջված լինել։ |
Ներթափանցման նշաններ ունեցող վիրտուալ դարպասի դեպքում Cisco-ն զգուշացնում է, որ վտանգված համակարգի թարմացումը ոչնչացնում է դրա գրանցամատյաններն ու թվային հետաքննության ապացույցները։ Վերականգնման համար ընկերությունն առաջարկում է հետևյալ քայլերը․
Կլաստերի անդամները միմյանց նույնականացնում են Secure Shell (SSH) արձանագրության բանալիների զույգերով, որոնք սարքերի միջև վստահելի կապեր են հաստատում։ Վտանգված դարպասից գողացված գաղտնի բանալին կարող է հարձակվողին հասանելիություն տալ մյուսներին, ուստի Cisco-ն խորհուրդ է տալիս վերականգնել վտանգված սարք պարունակող կլաստերի բոլոր անդամներին։ Վտանգված ֆիզիկական սարքի դեպքում Cisco-ն հաճախորդներին խնդրում է կապվել իր տեխնիկական աջակցության կենտրոնի հետ և միացնել հեռավար հասանելիությունը, որպեսզի ինժեներները կարողանան հետաքննել դեպքը։
Cisco-ի խոսնակը The Register-ին հաստատել է, որ խոցելիությունն ակտիվորեն օգտագործվում է, և ասել, որ այն առնչվում է «սահմանափակ թվով հաճախորդների»։ Cisco-ն հրաժարվել է հայտնել, թե քանի սարք է վտանգվել կամ ինչ էին անում հարձակվողները՝ օգտվելով ստացած հասանելիությունից։ Ընկերությունը չի հայտնել, թե ովքեր են հարձակվողները կամ արդյոք նրանցից որևէ մեկը ստացել է root հասանելիություն։
The Register-ը հոկտեմբերի 14-ին հայտնել է, որ գործակալության սահմանած վերջնաժամկետի համաձայն՝ դաշնային գերատեսչությունները պետք է խոցելիությունը վերացնեն մինչև հոկտեմբերի 17-ը։ Հրահանգը տարածվում է դաշնային գործադիր իշխանության քաղաքացիական գերատեսչությունների վրա, որոնց հաջորդ քայլը խոցելի համակարգերում ուղղումներ կատարելն ու գնահատելն է, թե արդյոք դրանցում ներթափանցում է եղել նախքան ուղղումների տեղադրումը։
