Barracuda-ն զգուշացնում է Email Security Gateway-ներում շահագործվող make-me-root խոցելիությունների մասին

Անվտանգության ընկերություն Barracuda-ն զգուշացնում է, որ հարձակվողները շահագործում են նույնականացումից առաջ լիազորության շրջանցման սխալը և հրամանների ներարկման խոցելիությունը իր Email Security Gateway արտադրանքներում: Երկու խոցելիությունները, երբ շղթայվում են, կարող են հարձակվողներին թույլ տալ գործարկել հրամաններ root արտոնություններով: Barracuda-ն ասաց, որ ուշ երկուշաբթի գիշերվա թարմացումը բացահայտել է շահագործման ակտիվություն, որը ազդել է փոքր թվով կազմակերպությունների վրա:

Ինչ է բացահայտել Barracuda-ն

Barracuda-ն հրաժարվեց պատասխանել միջադեպերի վերաբերյալ հարցերին, այդ թվում՝ քանի կազմակերպություն է տուժել: Ընկերության խոսնակը ասաց, որ այն ուղղակիորեն աշխատել է տուժած բիզնեսների հետ և թողարկել է թարմացումներ տուժած արտադրանքների համար: Ընկերությունը բացահայտել և շտկել է CVE-2026-116606 և CVE-2026-111560 խոցելիությունները անցյալ շաբաթ: CVE-2026-116606-ը 9.3 CVSS գնահատականով նույնականացումից առաջ լիազորության շրջանցման սխալ է ESG-ում. Նույնականացում չի պահանջվում, բայց հարձակվողը պետք է մուտք ունենա ադմինիստրատիվ ինտերֆեյսին: CVE-2026-111560-ը 8.6 գնահատականով հրամանների ներարկման սխալ է, որը վերաբերում է ESG-ին, բեռի հավասարակշռիչին (ADC), հաղորդագրությունների արխիվատորին (BMA), վեբ հավելվածների ֆայերվոլին (WAF), WAF կառավարման կենտրոնին (WCC) և վեբ անվտանգության դարպասին (WSG):

Ռիսկը, եթե խոցելիությունները շղթայվեն

Barracuda-ն նոյեմբերի 2-ին զգուշացրեց, որ եթե շահագործվեն համատեղ, խոցելիությունները կարող են հարձակվողին թույլ տալ շրջանցել լիազորության վերահսկումը և ստանալ root մուտք սարքին: Այդ ժամանակ ընկերությունը չէր հաղորդել որևէ խոցելիության ակտիվ շահագործման մասին: Դեռ հայտնի չէ, թե ով է պատասխանատու հարձակումների համար, կամ արդյոք ներխուժողները ստացել են root մուտք: Եթե այդպես եղավ, նրանք կարող էին գողանալ տվյալներ, տեղադրել հետին դռներ և լիովին վերահսկել տուժած համակարգերը:

Կապեր նախորդ հարձակումների հետ

Այս տիպի եզրային սարքերի շահագործումները օգտագործվել են չինական կառավարության լրտեսների կողմից: 2023 թվականին FBI-ն մեղադրեց PRC-ի հետ կապված հարձակվողներին Barracuda ESG-ների դեմ հարձակումների համար, որոնք նպատակ ունեին տեղադրել հատուկ վնասակար ծրագրեր և պահպանել մուտքը բարձրարժեք ցանցեր: Mandiant-ի համաձայն, բացահայտված տուժած կազմակերպությունների 27 տոկոսը կառավարական մարմիններ էին:

Խորհուրդ ադմինիստրատորներին

Purplecop Security-ի հիմնադիր Tausif Ahmed-ը երեքշաբթի ասաց, որ եթե Email Security Gateway-ի ադմինիստրատիվ ինտերֆեյսը բաց է ինտերնետին, դա առաջինն է, ինչ պետք է փակել: Barracuda-ի եզրափակիչ խորհուրդը եղավ անմիջապես տեղադրել թարմացումները:

Աղբյուրներ: The Register