Libraesva Email Security Gateway (ESG) è una soluzione di sicurezza email utilizzata dalle aziende per filtrare lo spam, bloccare i tentativi di phishing e fornire protezione multilivello contro le minacce veicolate via email. La vulnerabilità identificata come CVE-2025-59689 consente a un attaccante di eseguire comandi shell arbitrari da remoto come utente non privilegiato, senza necessità di autenticazione.

La vulnerabilità interessa le versioni di Libraesva ESG dalla 4.5 alla 5.5.x (precedenti alle versioni correttive). Poiché si sono verificati casi confermati di sfruttamento attivo e la vulnerabilità è stata aggiunta al catalogo della CISA delle vulnerabilità note come sfruttate, è fondamentale applicare immediatamente le patch disponibili.

Riassunto tecnico

La vulnerabilità è un’injection di comandi attivata da un allegato email compresso appositamente confezionato. La causa sottostante è una “sanitizzazione inadeguata durante la rimozione di codice attivo da file contenuti in alcuni formati di archivi compressi”.

Il dispositivo ESG ispeziona ed elabora archivi compressi (ZIP/tar/gz e simili) incorporati nelle email in entrata al fine di rimuovere o neutralizzare contenuti attivi (script, eseguibili, ecc.). Durante questa pipeline di sanitizzazione, il prodotto accettava dati controllati dall’attaccante provenienti dall’archivio (nomi di file e/o contenuti dei file) e li utilizzava in un contesto in cui si verificava un’interpolazione da parte della shell o una chiamata esterna non sicura, consentendo così all’attaccante di iniettare comandi che il processo ESG eseguiva come utente locale non privilegiato.

Raccomandazioni

1. Applicare immediatamente la patch: Di seguito le versioni correttive corrispondenti in base alla versione ESG:

| ESG Version | Versione con la correzione |
| ———– | ————————— |
| 5.0 | 5.0.31 |
| 5.1 | 5.1.20 |
| 5.2 | 5.2.31 |
| 5.3 | 5.3.16 |
| 5.4 | 5.4.8 |
| 5.5 | 5.5.7 |

2. Scansione per IoC: La patch include una scansione automatica per indicatori di compromissione (IoC) e un modulo di auto-verifica che viene eseguito su tutti i dispositivi interessati per verificare l’integrità della patch e rilevare eventuali minacce residue.

3. Monitoraggio: Analizzare i log del gateway email alla ricerca di allegati compressi sospetti.