Две уязвимости в продуктите на Barracuda могат да позволят заобикаляне на контрола за достъп и получаване на root привилегии. Компанията публикува корекции и призова клиентите да актуализират засегнатите устройства и да ограничат достъпа до административните интерфейси.
Barracuda Networks предупреди клиентите си за две уязвимости в защитни продукти, които при определени условия могат да позволят на нападатели да изпълняват команди с най-високи системни привилегии.
Първата уязвимост, CVE-2026-116606, е критичен проблем в механизмите за удостоверяване на Email Security Gateway (ESG). Тя може да бъде използвана за промяна на глобалната конфигурация на устройството.
Втората, CVE-2026-111560, позволява на потребители с административни права да инжектират команди към операционната система, които се изпълняват с root привилегии.
Barracuda уточнява, че успешната експлоатация изисква достъп до административния интерфейс на засегнатото устройство. При комбинирано използване на двете уязвимости нападател може да заобиколи механизмите за авторизация и да получи root достъп.
Засегнати продукти и корекции
Компанията заявява, че е започнала незабавен процес по отстраняване на проблемите и е публикувала актуализации за засегнатите продукти.
| Продукт | CVE-2026-116606 | CVE-2026-111560 | Корекция |
|---|---|---|---|
| Email Security Gateway (ESG) | Да | Да | BNSF-40425 (9.4.017+), BNSF-40430 (версии под 9.4.017) |
| Load Balancer ADC | Не | Да | BNADC-16586 |
| Message Archiver (BMA) | Не | Да | BNMA-32468 |
| WAF Control Center (WCC) | Не | Да | BNWF-60060 |
| Web Application Firewall (WAF) | Не | Да | BNADC-16586 |
| Web Security Gateway (WSG) | Не | Да | BNYF-24789 |
Barracuda препоръчва на клиентите да проверят дали използват засегнати продукти, да приложат съответните корекции и да се уверят, че устройствата работят с актуален firmware.
Компанията съветва също административните интерфейси да бъдат защитени чрез подходящи мрежови контроли и достъпът до тях да се ограничи до доверени вътрешни мрежи. Това е особено важно, тъй като достъпът до административната функционалност е условие за успешна експлоатация.
Barracuda ESG вече е бил обект на zero-day атаки
Предупреждението идва на фона на предишни инциденти, при които продуктите на Barracuda са били използвани за кибершпионаж.
През 2023 г. компанията отстрани уязвимостта CVE-2023-7102 в Email Security Gateway, която групата UNC4841 използва при zero-day атаки за изпълнение на произволен код върху неактуализирани устройства.
Същата година UNC4841 експлоатира и друга zero-day уязвимост – CVE-2023-2868. Тя беше използвана при атаки срещу ESG устройства.
Barracuda впоследствие разкри, че CVE-2023-2868 е била експлоатирана поне от октомври 2022 г. – около седем месеца преди публичното разкриване. Нападателите използвали уязвимостта за внедряване на неизвестни дотогава зловредни програми SeaSpy и Saltwater и за кражба на данни.
Според Mandiant почти една трета от компрометираните устройства в кампанията през 2023 г. са принадлежали на правителствени организации по света. Повечето от тези системи са били атакувани между октомври и декември 2022 г.
Значение за организациите
Barracuda има над 200 000 клиенти по света, сред които малки и средни предприятия, големи организации и доставчици на управлявани услуги.
Новите уязвимости не означават автоматично, че всички засегнати устройства са изложени на риск от интернет. Изискването за достъп до административния интерфейс обаче прави конфигурацията на управлението важна част от защитата.
Организациите трябва да разглеждат актуализацията на firmware и ограничаването на административния достъп като взаимно допълващи се мерки. Историята на ESG атаките показва, че подобни устройства могат да бъдат ценна цел за кражба на данни и проникване в корпоративни или правителствени мрежи.
