梭子鱼安全网关仍存在漏洞，联邦执法机构建议用户尽快自查

美国联邦调查局于近日警告称，梭子鱼电子邮件安全网关（ESG）的一个重要远程命令注入漏洞的补丁 "无效"，已打补丁的设备仍在不断受到攻击。

该漏洞被追踪为CVE-2023-2868，于2022年10月首次被发现。不法分子通过该漏洞入侵了ESG设备并从被入侵系统中窃取数据。

攻击者部署了以前未知的恶意软件 SeaSpy 和 Saltwater 以及恶意工具 SeaSide，以建立远程访问的反向外壳。

随后CISA 分享了在相同攻击中部署的 Submariner 和 Whirlpool 恶意软件的更多细节。

5月27日，美国网络安全机构还将该漏洞添加到其在野外被积极利用的漏洞目录中，并警告联邦机构检查其网络是否存在漏洞证据。

尽管梭子鱼在5月20日，也就是发现漏洞的第二天，就对所有设备进行了远程修补，并阻止了攻击者对被入侵设备的访问。但可能由于它无法确保完全清除攻击中部署的恶意软件，所以其在6月7日向客户发出了新的警告，称必须立即更换所有受影响的设备。

联邦调查局也警告梭子鱼客户更换设备

联邦调查局现在加强了警告，告知梭子鱼客户应立即隔离和更换被黑客攻击的设备。由于补丁无效，所以客户们即使给设备打好补丁也有被入侵的风险。

联邦执法机构在周三发布的紧急警报[PDF]中警告说：强烈建议客户立即隔离和更换所有受影响的 ESG 设备，并立即扫描所有网络与所提供的入侵指标列表的连接。

联邦调查局观察此次的主动入侵行为后认为梭子鱼 ESG 设备极易容易受到该漏洞的攻击。

另外，FBI已经证实所有被利用的ESG设备，即使是那些由梭子鱼推送补丁的设备，仍然存在被利用的风险。

此外，该机构还建议梭子鱼客户通过扫描与咨询中共享的入侵指标（IOC）列表中的 IP 的出站连接，调查其网络是否存在潜在的其他入侵。

那些在梭子鱼设备上使用企业特权凭据，如活动目录域管理员等用户也被敦促撤销和轮换这些凭据，以确保网络安全。

梭子鱼表示，其安全产品已被全球20多万家企业使用，其中包括三星、达美航空、三菱和卡夫亨氏等知名企业。