„Barracuda“ el. pašto vartai: dvi spragos gali atverti kelią iki root

Kas buvo aptikta?

Pirmoji klaida, CVE-2026-116606, susijusi su „Email Security Gateway“ autorizacijos kontrole. Pagal Mandiant CVE įrašą, nuotolinis užpuolikas be prisijungimo galėjo pasiekti konfigūracijos importavimo funkciją ir atkurti specialiai paruoštą atsarginės konfigūracijos archyvą. Spragos CVSS 4.0 įvertis – 9,3.

Antroji, CVE-2026-111560, yra komandų įterpimo klaida, susijusi su laiko juostos konfigūracijos reikšmės apdorojimu. Jei šią reikšmę pakeisti galintis administratorius ją panaudotų pažeidžiamame procese, komandos galėtų būti vykdomos root teisėmis. Šios klaidos CVSS įvertis – 8,6. Ji paveikia ESG ir dar penkias „Barracuda“ produktų grupes.

„watchTowr“ tyrėjai parodė, kad ESG atveju autorizacijos apėjimą galima sujungti su komandų įterpimu: neturint prisijungimo duomenų pasiekiamas konfigūracijos atkūrimo kelias, o pažeidžiama reikšmė vėliau patenka į privilegijuotą sistemos procesą. Tai parodo, kodėl atskirų klaidų vertinimas ne visada atskleidžia visos atakos grandinės poveikį. Straipsnyje nepateikiame veikiančio išnaudojimo užklausų ar instrukcijų.

Kuriems produktams taikoma?

Autorizacijos apėjimo klaida CVE-2026-116606 taikoma tik „Email Security Gateway“. Komandų įterpimo klaida CVE-2026-111560 taikoma šiems įrenginiams:

Pataisų ID pateikti pagal „Barracuda“ saugumo pranešimą. ESG firmware versijos aprašuose yra neatitikimas: „Barracuda Campus“ nurodo 9.4.0.029 ir vėlesnę, o Mandiant CVE įraše paveikta nurodoma viskas iki 9.4.0.030. Todėl tikrinkite ne vien numerį, bet ir ar konkrečiame įrenginyje įdiegta reikalinga saugumo pataisa. Jei būsena neaiški, kreipkitės į „Barracuda“ palaikymą ir nurodykite pataisos ID.

Ką turi padaryti įmonė?

1. Surašyti visus įrenginius. Patikrinkite fizinius ir virtualius ESG, taip pat kitus lentelėje nurodytus „Barracuda“ produktus. Nepamirškite atskirų vietų ir atsarginių įrenginių.
2. Patvirtinti pataisos būseną. Patikrinkite „Barracuda“ Trust Center pateiktą pataisos ID ir įrenginio administravimo sąsajoje įsitikinkite, kad jis įdiegtas. Jei išjungtas automatinis pataisų diegimas, įjunkite jį arba atlikite gamintojo nurodytą rankinį atnaujinimą.
3. Apriboti Admin UI pasiekiamumą. Valdymo sąsają palikite tik patikimam administravimo tinklui arba VPN. Neleiskite jos pasiekti iš svečių, naudotojų ar interneto tinklų, jei tam nėra būtino pagrįsto poreikio.
4. Peržiūrėti žurnalus. Įvertinkite neįprastus prisijungimo, konfigūracijos importavimo, administravimo ir įrenginio pakeitimų įrašus. Išsaugokite žurnalus, jei kyla įtarimas dėl neleistinų pakeitimų.
5. Įtarus kompromitavimą, taikyti incidento procesą. Vien pataisos įdiegimas nepatvirtina, kad anksčiau nebuvo pakeista konfigūracija ar įrenginys. Kreipkitės į gamintoją, tikrinkite konfigūraciją ir nustatykite, ar būtinas išsamesnis tyrimas.

Ar tai jau aktyviai išnaudojama?

„The Hacker News“ lapkričio 6 d. publikacijoje nurodo, kad tuo metu nebuvo viešų pranešimų apie šių dviejų spragų panaudojimą realiose atakose ir jos dar nebuvo CISA KEV kataloge. Tačiau „watchTowr“ paskelbta analizė parodė veikiančią pažeidžiamumų grandinę tyrimų aplinkoje. Praktinė išvada paprasta: nelaikykite „nėra pranešta apie atakas“ priežastimi atidėti atnaujinimą.

Šio įvykio nereikėtų painioti su 2023 m. CVE-2023-2868 incidentu ir UNC4841 kampanija. Tai kita spraga ir kitas atvejis; dabartinių CVE-2026-116606 bei CVE-2026-111560 su ta ankstesne kampanija šiuo metu nesieja vieši šaltiniai.