CVE-2025-59689

Суть уязвимости

Уязвимость CVE-2025-59689 в Libraesva Email Security Gateway (ESG) представляет собой критическую ошибку внедрения команд (Command Injection).

• Вектор атаки: Злоумышленник отправляет электронное письмо со специально сформированным сжатым вложением (например, .zip, .tar.gz, .rar).
• Причина: Механизм антивирусной проверки или распаковки архивов внутри шлюза некорректно экранирует имена файлов или метаданные внутри архива перед их передачей в системную оболочку (shell).
• Последствия: При обработке такого вложения шлюзом происходит выполнение произвольных команд на уровне операционной системы с правами службы, выполняющей сканирование. Это приводит к полному компрометированию устройства (RCE), возможности перехвата почтового трафика и созданию плацдарма для дальнейшего продвижения во внутреннюю сеть (Lateral Movement).

Как исправить

Единственным надежным способом устранения уязвимости является обновление прошивки Libraesva ESG до версии, в которой закрыта данная уязвимость.

• Сделайте резервную копию текущей конфигурации шлюза (снапшот виртуальной машины или бэкап через Web-интерфейс).
• Авторизуйтесь в Web-интерфейсе администратора Libraesva ESG.
• Перейдите в раздел Admin Area -> Appliance -> System Upgrade.
• Нажмите кнопку проверки обновлений и установите последний доступный патч безопасности, закрывающий CVE-2025-59689.
• Дождитесь завершения процесса обновления и автоматической перезагрузки устройства.
• Убедитесь, что все службы работают корректно, проверив статус в разделе Dashboard.
• Если вы используете кластерную конфигурацию, повторите процесс обновления для каждого узла по очереди, начиная с резервного (Standby).

Временные меры

Если немедленное обновление невозможно, необходимо применить компенсирующие меры для снижения риска эксплуатации.

• Блокировка архивов: Временно настройте правила фильтрации (Attachment Filtering) на блокировку или помещение в карантин всех писем со сжатыми вложениями.
• Перейдите в Admin Area -> Mail Transport -> Attachment Filters и добавьте правило для расширений .zip, .rar, .tar, .gz, .7z.
• Сетевая изоляция (Egress Filtering): Ограничьте исходящий трафик от шлюза ESG на межсетевом экране (Firewall). Разрешите только необходимые порты (например, TCP/25 для SMTP, TCP/53 для DNS, TCP/80/443 для обновлений) и заблокируйте все остальные, чтобы предотвратить установку обратных соединений (Reverse Shell) злоумышленником.
• Мониторинг логов: Настройте SIEM-систему на поиск аномальных процессов, запускаемых дочерними процессами почтового сканера.
• Для ручной проверки логов на предмет подозрительных команд, переданных через архивы, используйте поиск по системным журналам:

grep -iE "sh -c.*(wget|curl|nc|bash|sh|python)" /var/log/maillog

• После изменения правил фильтрации вложений рекомендуется перезапустить службу сканирования для немедленного применения политик:

systemctl restart MailScanner