Cisco hat eine kritische SQL-Injection-Schwachstelle im Secure Email Gateway gepatcht, nachdem eine aktive Ausnutzung festgestellt wurde. Eine präparierte E-Mail, die eine betroffene physische oder virtuelle Appliance durchläuft, kann zur Ausführung von Befehlen mit Root-Rechten führen. Ein vollständiges Inventar und eine schnelle Behebung sind daher unverzichtbar.
Warum die Schwachstelle kritisch ist
Die als CVE-2026-76461 geführte Lücke beruht auf einer unzureichenden Prüfung im E-Mail-Parser der Appliance. Ein Angreifer kann sie ausnutzen, indem er über ein betroffenes Gateway eine präparierte Nachricht mit bösartigen SQL-Anweisungen sendet.
Eine erfolgreiche Ausnutzung kann beliebige SQL-Anweisungen und die Ausführung von Befehlen mit Root-Rechten auf dem zugrunde liegenden Betriebssystem ermöglichen. Die CISA hat die Schwachstelle in ihren Katalog der Known Exploited Vulnerabilities aufgenommen.
Korrigierte AsyncOS-Versionen
Cisco hat die Schwachstelle in Notfall-Releases der AsyncOS-Firmware behoben:
15.5.5-0141
16.0.4-3021
16.5.0-780
Betroffen sind sowohl physische als auch virtuelle Secure-Email-Gateway-Appliances. Unternehmen sollten jede eingesetzte Instanz identifizieren, ihre aktuelle Firmware-Version feststellen und Upgrades auf den passenden korrigierten Zweig priorisieren.
Patchen allein reicht möglicherweise nicht
Da die Ausnutzung begann, bevor Korrekturen verfügbar waren, beweist ein Upgrade nicht, dass eine Appliance nie kompromittiert wurde. Administratoren können die mail_logs auf verdächtige SQL-Anweisungen prüfen, doch mit Root-Zugriff kann ein Angreifer lokale Spuren verändern.
Cisco empfiehlt daher, Netzwerk- und Firewall-Protokolle außerhalb der Appliance auf verdächtige Aktivitäten zu prüfen, etwa unerwartete Uploads oder Downloads mit externen IP-Adressen. Bei Verdacht auf Kompromittierung einer physischen Appliance sollte das Technical Assistance Center von Cisco eingeschaltet werden. Bei einer virtuellen Appliance rät Cisco, forensische Informationen zu sichern, eine neue Instanz mit neu aufgebauter Konfiguration bereitzustellen und die Zugangsdaten zu erneuern.
Prioritäten der Reaktion
Eine praxistaugliche Reaktion sollte den gesamten Appliance-Bestand umfassen, nicht nur die Gateways, die den Administratoren bereits bekannt sind:
Jede physische und virtuelle Secure-Email-Gateway-Instanz inventarisieren.
Die installierte AsyncOS-Version erfassen und der passenden korrigierten Version zuordnen.
Externe Netzwerk- und Firewall-Telemetrie auswerten, statt sich nur auf die Protokolle der Appliance zu verlassen.
Forensische Beweise sichern, bevor ein verdächtiges System neu aufgebaut oder verändert wird.
Zugangsdaten einer kompromittierten oder neu aufgebauten virtuellen Appliance erneuern.
Sicherstellen, dass vergessene, isolierte oder selten verwaltete Gateways einbezogen werden.
Wie ConnectMyAssets unterstützt
ConnectMyAssets ist eine herstellerunabhängige On-Premises-Plattform für die Verwaltung von Multi-Vendor-Netzwerkinfrastruktur, einschließlich Cisco-Geräten. Die Module unterstützen die operative Seite dieser Reaktion:
Die dynamische CMDB erkennt verwaltete Appliances und hält ein genaues Geräteinventar aktuell.
Das CVE-Tracking verknüpft Schwachstellen mit den einzelnen Geräten und verbessert so die Sicht auf die Exposition und die Priorisierung der Behebung.
Backup & History bewahrt Konfigurationsstände mit SHA256-Prüfung auf und ermöglicht einen Rollback per Klick, wenn eine verwaltete Änderung Probleme verursacht.
Automation & ZTP koordiniert Massen-Rollouts für die verwaltete Infrastruktur und reduziert so den manuellen Aufwand bei dringenden Behebungen.
Die Netzwerktopologie zeigt, wo betroffene Appliances stehen und welche Netzwerkpfade genauer untersucht werden müssen.
Die Compliance Engine liefert gewichtete Bewertungen gegen Rahmenwerke wie CISA, NIS2, ISO 27001, PCI-DSS und NIST.
ConnectMyAssets läuft als gehärtetes virtuelles Image (OVA) auf Ihrer eigenen Infrastruktur. Geräte-, Konfigurations- und Schwachstellendaten bleiben so in der Umgebung des Unternehmens. Die Plattform ergänzt die Auswertung externer Protokolle, die Beweissicherung und die Schritte der Incident Response, die bei einer möglichen Root-Kompromittierung nötig sind, ersetzt sie aber nicht.
Quelle: Network World
