15. Oktober 2026
Beschreibung
In der Funktion Advanced Malware Protection (AMP) von Cisco Secure Email Gateway existiert eine kritische Sicherheitslücke. Die Schwachstelle beruht auf einer fehlerhaften Verarbeitung von E-Mail-Anhängen, wenn der File-Reputation-Dienst aktiviert ist. Laut Cisco wird die Sicherheitslücke bereits aktiv ausgenutzt.
CVE-Nummer(n): CVE-2026-76519
CVSS Base Score: 9.8
Auswirkungen
Nicht authentifizierte Angreifer:innen können aus der Ferne durch das Versenden einer E-Mail mit einem präparierten Anhang über ein betroffenes Gerät beliebige Dateien auf dem zugrundeliegenden Betriebssystem schreiben und Befehle mit root-Rechten ausführen. Damit ist eine vollständige Kompromittierung des Geräts möglich. Mit diesen Berechtigungen können Angreifer:innen zudem Spuren der Ausnutzung entfernen.
Ist ein betroffenes Gerät Teil eines Clusters, können die zur Authentifizierung zwischen den Cluster-Mitgliedern verwendeten privaten SSH-Schlüssel ausgelesen und für die Kompromittierung weiterer Cluster-Mitglieder verwendet werden.
Betroffene Systeme
Betroffen ist Cisco Secure Email Gateway (physisch und virtuell) mit einer verwundbaren Version von Cisco AsyncOS, wenn beide der folgenden Bedingungen erfüllt sind:
- Der File-Reputation-Dienst (Teil von Cisco AMP) ist aktiviert und einer Mail Policy zugewiesen.
- Die Version der Content Scanner Tools ist älter als 25.3.0.5525.
Betroffene Cisco AsyncOS Releases für Cisco Secure Email Gateway:
- Release 15.5: Versionen vor 15.5.5-014
- Release 16.0: alle Versionen (kein Fix, Migration auf eine behobene Version notwendig)
- Release 16.5: Versionen vor 16.5.0-780
Nicht betroffen sind laut Cisco Secure Email and Web Manager sowie Secure Web Appliance.
Abhilfe
Cisco stellt folgende fehlerbereinigte Versionen bereit:
- Cisco AsyncOS 15.5.5-014
- Cisco AsyncOS 16.5.0-780
Cisco empfiehlt, Systeme mit Releases vor 16.5 auf 16.5.0-780 zu migrieren.
Der Fix wird zusätzlich für alle lizenzierten und unterstützten AsyncOS-Releases über ein Update der Content Scanner Tools verteilt. Versionen ab 25.3.0.5525 enthalten den Fix. Das Update erfordert weder ein Software-Upgrade noch einen Neustart. Bei aktivierten automatischen Updates ist nach Einspielen des Updates keine weitere Aktion nötig, andernfalls kann das Update über den CLI-Befehl contentscannerupdate manuell angestoßen werden. Die installierte Version lässt sich mit contentscannerstatus prüfen. Für Cisco Secure Email Cloud Gateway ist laut Cisco keine Aktion erforderlich. Workarounds stehen nicht zur Verfügung.
Da die Schwachstelle aktiv ausgenutzt wird, empfiehlt CERT.at, betroffene Systeme auf Anzeichen einer Kompromittierung zu prüfen. Cisco beschreibt dazu die Durchsuchung der system_logs nach Einträgen mit „System Security“ (bei Clustern auf jedem Cluster-Mitglied). Zusätzlich sollten Netzwerk- und Firewall-Logs außerhalb des Geräts auf verdächtige Aktivitäten, etwa unerwartete Uploads vom Gerät zu externen IP-Adressen, geprüft werden.
Bei Verdacht auf Kompromittierung einer physischen Appliance empfiehlt Cisco die Kontaktaufnahme mit dem Cisco TAC. Bei virtuellen Appliances empfiehlt Cisco, zunächst forensische Daten zu sichern (ein Upgrade zerstört diese), eine neue virtuelle Maschine mit einer behobenen Version aufzusetzen, die Konfiguration ohne Import alter Konfigurationsdateien neu aufzubauen sowie sämtliche Zugangsdaten und kryptographisches Material zu erneuern. Bei Clustern sollten alle Mitglieder eines Clusters mit mindestens einem kompromittierten Gerät neu aufgesetzt werden. Details finden sich im Advisory des Herstellers.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
Informationsquelle(n):
Cisco Secure Email Gateway Arbitrary File Write Vulnerability (Englisch)
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 (Englisch)
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-esa-dfCrfXkm
Lesen Sie den originalen Artikel: