Barracuda-მ Email Security Gateway-ებში root-უფლებების მიმცემი ხარვეზების ექსპლუატაციაზე გააფრთხილა

უსაფრთხოების კომპანია Barracuda-მ აფრთხილებს, რომ თავდამსხმელები იყენებენ ავთენტიფიკაციამდე ავტორიზაციის გვერდის ავლის ხარვეზს და ბრძანების ინექციის ხარვეზს მისი Email Security Gateway-ის პროდუქტებში. ორივე ხარვეზის ერთად გამოყენებამ შეიძლება თავდამსხმელებს საშუალება მისცეს root-უფლებებით შეასრულონ ბრძანებები. Barracuda-მ განაცხადა, რომ ორშაბათს გვიან ღამით გაკეთებულმა განახლებამ გამოავლინა ექსპლუატაციის აქტივობა, რომელიც მცირე რაოდენობის ორგანიზაციას შეეხო.

რა გაამჟღავნა Barracuda-მ

Barracuda-მ თავი შეიკავა ინციდენტებთან დაკავშირებულ კითხვებზე პასუხისგან, მათ შორის იმაზე, თუ რამდენ ორგანიზაციას შეეხო. კომპანიის წარმომადგენელმა თქვა, რომ უშუალოდ დაზარალებულ ბიზნესებთან მუშაობდა და დაზარალებული პროდუქტებისთვის პაჩები გამოუშვა. კომპანიამ გასულ კვირას გაასაჯაროვა და გამოასწორა CVE-2026-116606 და CVE-2026-111560. CVE-2026-116606 არის ESG-ში არსებული ავტორიზაციის გვერდის ავლის ხარვეზი CVSS-ის 9,3 ქულით; მისი გამოყენება ავთენტიფიკაციის გარეშე შეიძლება, თუმცა თავდამსხმელს ადმინისტრატორის ინტერფეისზე წვდომა უნდა ჰქონდეს. CVE-2026-111560 არის ბრძანების ინექციის ხარვეზი CVSS-ის 8,6 ქულით, რომელიც ეხება ESG-ს, დატვირთვის ბალანსირებელს (ADC), შეტყობინებების არქივატორს (BMA), ვებ-აპლიკაციების ფაირვოლს (WAF), WAF-ის მართვის ცენტრს (WCC) და ვებ-უსაფრთხოების კარიბჭეს (WSG).

რისკი ხარვეზების ერთად გამოყენებისას

Barracuda-მ 2 ნოემბერს გააფრთხილა, რომ ერთად გამოყენების შემთხვევაში ეს ხარვეზები შეიძლება თავდამსხმელს საშუალება მისცეს გვერდი აუაროს ავტორიზაციის კონტროლს და მოიპოვოს root-წვდომა მოწყობილობაზე. კომპანიამ იმ დროს არც ერთი ხარვეზის აქტიური ექსპლუატაციის შესახებ არ განაცხადა. ჯერ არ არის ცნობილი, ვინ არის პასუხისმგებელი თავდასხმებზე ან მოიპოვეს თუ არა შემოჭრილებმა root-წვდომა. თუ მოიპოვეს, მათ შეეძლოთ მონაცემების მოპარვა, უკანა კარების დაყენება და დაზარალებულ სისტემებზე სრული კონტროლის დამყარება.

კავშირი ადრინდელ თავდასხმებთან

ამ ტიპის პერიფერიული მოწყობილობების ექსპლუატაციას ჩინეთის მთავრობის ჯაშუშები იყენებდნენ. 2023 წელს FBI-მ PRC-სთან დაკავშირებული თავდამსხმელები დაადანაშაულა Barracuda-ს ESG-ებზე თავდასხმებში, რომელთა მიზანი იყო მორგებული მავნე პროგრამის განთავსება და მაღალი ღირებულების ქსელებზე წვდომის შენარჩუნება. Mandiant-ის მიხედვით, გამოვლენილი დაზარალებული ორგანიზაციების 27 პროცენტი სახელმწიფო უწყება იყო.

რჩევა ადმინისტრატორებს

Purplecop Security-ის დამფუძნებელმა Tausif Ahmed-მა სამშაბათს თქვა, რომ თუ Email Security Gateway-ის ადმინისტრატორის ინტერფეისი ინტერნეტისთვის ღიაა, ეს პირველია, რაც უნდა დაიხუროს. Barracuda-ს დასკვნითი რჩევა იყო, რომ პაჩი დაუყოვნებლივ დააყენონ.

წყაროები: The Register