Компания Cisco предупредила своих клиентов о том, что ее продукт Email Security Appliance (ESA) подвержен серьезной DoS-уязвимости, которую можно эксплуатировать с помощью специально подготовленных электронных писем.
Уязвимость CVE-2022-20653 (7,5 балла по шкале CVSS) связана с компонентом DNS-based Authentication of Named Entities (DANE), входящим в состав Cisco AsyncOS Software для ESA. Он используется Cisco Secure Email для проверки электронной почты на наличие спама, фишинга, малвари и других угроз. Проблема вызвана некорректной обработкой ошибок во время разрешения имен DNS.
«Неаутентифицированный злоумышленник может воспользоваться этой уязвимостью, отправив уязвимому устройству специально отформатированные электронные письма, — пояснили в компании. — Успешная эксплуатация проблемы провоцирует отказ в обслуживании (DoS), что позволяет сделать устройство недоступным для интерфейсов управления и лишает его возможности обрабатывать другие письма (на время пока устройство не восстановится). Если атаки продолжатся, это может привести к тому, что устройство будет полностью недоступно, а отказ в обслуживании станет постоянным».
Стоит отметить, что проблема влияет лишь на те устройства, где активна функция DANE, а также на нижестоящие почтовые серверы, настроенные на отправку bounce-сообщений. В Cisco подчеркивают, что функциональность DANE не включена по умолчанию.
Таким образом, проблема касается устройств Cisco ESA, работающих под управлением Cisco AsyncOS версий 14.0, 13.5, 13.0, 12.5 и более ранних, где функция DANE активна.
