Cisco Secure Email Gateway の SQL インジェクションの脆弱性

Cisco Secure Email Gateway 向け Cisco AsyncOS ソフトウェアの電子メール解析における脆弱性により、認証されていないリモートの攻撃者が、基盤となるオペレーティングシステムでルート権限を使用して、任意のコマンドを実行する可能性があります。

この脆弱性は、電子メール解析ロジックにおける検証が不十分であることに起因します。攻撃者は、悪意のある SQL ステートメントを含む巧妙に細工された電子メールを、該当デバイスを使用して送信することにより、この脆弱性をエクスプロイトする可能性があります。エクスプロイトに成功すると、攻撃者が任意の SQL ステートメントを実行できるようになり、その結果、ルート権限を使用して、基盤となるオペレーティングシステムに対してコードが実行される危険性があります。

この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。この脆弱性に対処する回避策はありません。

このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX

この脆弱性のエクスプロイトの試みを確認するには、mail_logs を確認し、疑わしい SQL ステートメントを探します。デバイスがクラスターの一部である場合、各クラスターデバイスのログを確認します。次に、ログで悪意のある SQL ステートメントが検出される一例を示します。

cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

出力に何らかのエントリが存在する場合は、悪意のあるアクティビティを示している可能性があります。

Cisco Secure Email Cloud では、CLI アクセス権を持たない管理者は、前述の侵害の兆候を個別に確認できない場合があります。シスコは、悪意のあるアクティビティが検出された Cisco Secure Email Cloud デバイスを所有するお客様に直接連絡を取りました。

注：この脆弱性のエクスプロイトが成功すると、攻撃者はルート権限を使用してコマンドを実行できるようになる可能性があります。このレベルのアクセス権限があるため、攻撃者はエクスプロイトの証拠や侵害の兆候を削除したり、隠蔽したりする可能性があります。シスコでは、影響を受けるデバイスの外部にあるネットワークログやファイアウォールログを照合し、不審なアクティビティがないか確認することを管理者に推奨しています。これには、影響を受けるデバイスから外部 IP アドレスに対して開始された予期しないアップロードや、悪意のある IP アドレスからのダウンロードなどが含まれますが、これらに限定されません。

この脆弱性に対処する回避策はありません。

シスコでは、回避策や緩和策（該当する場合）は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。この脆弱性を修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。

修正リリース

次の表では、左の列にシスコ ソフトウェアリリースを記載しています。右の列は、リリースがこのアドバイザリに記載されている脆弱性の影響を受けるかどうか、およびこれらの脆弱性に対する修正を含む最初のリリースを示しています。このセクションの表に記載されている適切な修正済みソフトウェアリリースにアップグレードすることをお勧めします。

注：リリース 16.5 よりも前のリリースを実行しているお客様は、リリース 16.5.0-780 に移行することを強く推奨します。

ソフトウェアのアップグレードは、アプライアンスの Web ベースの管理のインターフェイスの [システムアップグレード（System Upgrade）] オプションを使用して、ネットワーク経由で実行できます。

Web ベースの管理インターフェイスを使用してデバイスをアップグレードするには、次の手順を実行します。

1. [システム管理（System Administration）] > [システムアップグレード（System Upgrade）] を選択します。
2. [アップグレードオプション（Upgrade Options）] をクリックします。
3. [ダウンロードしてインストール（Download and Install）] をクリックします。
4. アップグレードするリリースを選択します。
5. [アップグレード準備（Upgrade Preparation）] 領域で、適切なオプションを選択します。
6. [続行（Proceed）] をクリックして、アップグレードを開始します。アップグレードのステータスを示す経過表示バーが表示されます。

アップグレードが完了すると、デバイスがリブートします。

CLI を使用してデバイスをアップグレードするには、次の手順を実行します。

1. upgrade を実行します。
2. DOWNLOADINSTALL を入力します。
3. アップグレードするリリースを選択します。
4. アップグレードプロセス全体を通じて適切なオプションを選択します。

アップグレードが完了すると、デバイスがリブートします。

Cisco Secure Email Cloud には、サービスソリューションの一部として Cisco Secure Email Gateway および Cisco Secure Email and Web Manager デバイスが含まれています。シスコは、このソリューションに含まれる製品について、定期的なメンテナンスを行っています。お客様から Cisco Secure Email Cloud のサポートに連絡して、ソフトウェアのアップグレードを要求することもできます。

シスコは、すべての Cisco Secure Email Cloud デバイスをリリース 16.5.0-780 にアップグレード済みです。

シスコの Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正済みリリース情報のみを検証します。 

オンプレミスの物理デバイス

物理アプライアンスでエクスプロイトが疑われる場合、シスコでは、Cisco Technical Assistance Center（TAC）に連絡し、さらなるサポートを受けることを推奨しています。侵害の可能性に関する調査を迅速に進めるため、該当するアプライアンスでリモートアクセスが有効になっていることを確認してください。詳細なガイダンスについては、「Cisco ESA/WSA/SMA でのリモートアクセスに関する FAQ」を参照してください。

オンプレミスの仮想デバイス

仮想アプライアンスでエクスプロイトが疑われる場合、シスコでは、可能な場合、以下のアクションにより、デバイスを安全な設定に復元することを強く推奨しています。 

1. お客様のインシデント対応ポリシーに記載されているとおり、フォレンジック情報を維持します。重要：以下のいずれかの手順に進む前に、フォレンジック情報を記録しておいてください。新しいインスタンスを展開すると、設定とログが削除されます。
2. 修正済みソフトウェアリリースのいずれかを実行する新しい仮想マシンを展開します。
3. 製品の設定を再構築します。
4. アプライアンスにインストールされているログイン情報および暗号資料を更新します。
5. システムに異常な動作がないか引き続き監視します。

注：Cisco Secure Email Gateway アプライアンスは、クラスタの一部にすることができます。SSH キーペアは、クラスタメンバー間の認証に使用されます。この脆弱性のエクスプロイトが成功すると、侵害されたアプライアンス上で、この通信に使用される SSH 秘密キーにアクセスできる可能性があります。これらのキーにアクセスすることで、攻撃者は他のクラスタメンバーを侵害できる可能性があります。このため、侵害されたアプライアンスが 1 台以上含まれているクラスタについては、各メンバーを安全な設定に復元することを強く推奨します。

アプライアンスを復元できない場合は、Cisco TAC に連絡し、さらなるサポートを受けることを推奨しています。

エクスプロイトの疑いがなく、デバイスで該当のソフトウェアリリースが実行されている場合、シスコは修正済みのリリースにアップグレードすることを強く推奨します。

Cisco Secure Email Cloud

シスコは、Cisco Secure Email Cloud に属するデバイスについて、徹底的な脅威インテリジェンス調査を実施しました。シスコは、侵害の可能性を示す兆候が確認された Cisco Secure Email Cloud デバイスを所有するお客様に直接連絡を取りました。シスコでは、修復およびリカバリ操作に取り組んでいます。シスコは、自社の管理下にある緩和策をすでに展開しています。

また、連絡を受けたお客様には、可能であれば、アプライアンスにインストールされているログイン情報および暗号資料を更新して、デバイスを安全な設定に復元することを強く推奨します。

さらに、アプライアンスへのアクセスを制限し、堅牢なアクセス制御メカニズムを実装することを強く推奨します。 

セキュリティ強化のための一般的な推奨事項

• アプライアンスを Cisco AsyncOS ソフトウェアの最新バージョンにアップグレードします。
• インターネットからアプライアンスへのアクセスを防止します。アプライアンスにインターネットアクセスが必要な場合、ユーザーガイドに記載されているポートおよびプロトコル上の既知の信頼できるホストのみにアプライアンスアクセスを制限します。
• Cisco Secure Email Gateway の場合、メールと管理機能を個別のネットワーク インターフェイスに分離します。これにより、不正なユーザーが内部の管理ネットワークにアクセスする可能性が低減されます。詳細については、デバイスのユーザーガイドを参照してください。 
• ファイアウォールなどのフィルタリングデバイスの背後に Cisco Secure Email Gateway および Cisco Secure Email and Web Manager アプライアンスを配置して保護し、アプライアンスとの間の管理トラフィックをフィルタリングする一方で、既知の信頼できるホストのみがアプライアンスにトラフィックを送信できるようにします。2 層ファイアウォールの使用によって、ネットワークプランニングの柔軟性が高まり、エンドユーザーが外部 DMZ に直接接続することを防止できます。Cisco Secure Email Gateway および Cisco Secure Email and Web Manager 向けユーザーガイドの「デプロイメント」セクションを参照してください。
• ログトラフィックを定期的に監視して、アプライアンスとの間の予期しないトラフィックがないかどうかを調べます。可能であれば、ログは外部サーバーに送信し、十分なログデータを使用して事後調査を実行できるように十分な期間にわたって保持する必要があります。
• メイン管理者ポータルの HTTP を無効にします。
• HTTP や FTP などの不要なネットワークサービスを無効にします。特定のサービス機能の詳細については、Cisco Secure Email Gateway および Cisco Secure Email and Web Manager のユーザーガイドを参照してください。
• アプライアンスへのエンドユーザー認証には、SAML や Lightweight Directory Access Protocol（LDAP）などの強力な形式を使用します。 より安全な認証方法については、「スパム管理機能にアクセスするエンドユーザーの認証オプション」を参照してください。
• デフォルトの管理者パスワードを、より安全なパスワードに変更します。必要なアクセス要件に基づいてユーザ アカウントを作成し、管理者アカウントへのアクセスを制限する。 また、すべての管理者に対してオペレータ アカウントを作成します。
• SSL/TLS を使用し、認証局（CA）から SSL 証明書を取得するか、または自己署名証明書を作成します。

関連リソース

次のリソースは、影響を受けたアプライアンスを安全な状態に復元するのに役立ちます。一部のドキュメントは特定の製品に関連していますが、手順はほとんど互換性があります。手順について具体的な質問がある場合は、Cisco TAC にお問い合わせください。

交換用の仮想アプライアンスをダウンロードするには、関連するシスコのソフトウェア ダウンロード ページにアクセスします。

• Cisco Secure Email Gateway
• Cisco Secure Email and Web Manager

詳細については、『User Guide for AsyncOS 16.5 for Cisco Secure Email and Web Manager』を参照してください。次のセクションを参照してください。

• アプライアンスからのレポートデータのエクスポートについては、「Working with Reports」を参照してください。
• 隔離中のメッセージを削除する方法については、「Spam Quarantine」を参照してください。
• 追加情報については、「Centralizing Policy, Virus, and Outbreak Quarantines」を参照してください。

2026 年 9 月、Cisco PSIRT は、この脆弱性が実際にエクスプロイトされていることを把握しました。

この脆弱性は Cisco TAC サポートケースの解決中に発見されました。

ソフトウェアのダウンロードおよびテクニカルサポート

利用規約の詳細