Уязвимости Barracuda затронули 6 продуктов, патчи уже доступны
Barracuda подтвердила, что злоумышленники уже используют уязвимости в небольшом числе организаций, и призвала вручную обновить устройства, которые не получили патчи автоматически.
Уязвимости затрагивают шлюз защиты электронной почты Email Security Gateway (ESG) и при совместном использовании позволяют злоумышленнику выполнять команды с правами root. Для атаки нужен доступ к административному интерфейсу устройства.
Barracuda выпустила исправления для CVE-2026-116606 и CVE-2026-111560 в начале ноября, а затем дополнила предупреждение сообщением об эксплуатации уязвимостей. Компания не раскрыла точное число пострадавших организаций. Она рекомендует ограничить доступ к панели управления доверенными внутренними сетями и настроить устройства на автоматическое получение патчей.
Первая уязвимость позволяет обойти проверку прав в ESG и изменить глобальные настройки устройства. Вторая связана с внедрением команд операционной системы: их можно выполнить без авторизации, а результатом становится доступ с правами root. CVE-2026-111560 затрагивает также пять других продуктов Barracuda. Исследователь Сина Хейрха из watchTowr Labs описал цепочку эксплуатации 5 ноября; как сообщает CyberPress, для неё достаточно одного специально сформированного запроса.
Как работает цепочка уязвимостей ESG
По разбору watchTowr Labs, обход проверки прав начинается с запроса на смену пароля, в котором новый пароль и его подтверждение не совпадают. Уязвимый код возвращает сообщение об ошибке, но не останавливает обработку запроса. Благодаря этому продолжают работать обработчики модулей, к которым пользователь без авторизации не должен получить доступ. В исправленной версии такой запрос прекращается ответом страницы входа.
Один из доступных таким способом обработчиков принимает архив резервной копии и запускает восстановление. Архив может содержать данные, которые меняют значение системного часового пояса в локальной базе. При завершении восстановления устройство подставляет это значение в команду оболочки без надлежащей проверки. Связанный с этим сценарий запускается через sudo, поэтому внедрённые команды получают права root.
Исследователи также проверили защиту архива от изменений. Контрольные суммы файлов рассчитываются с использованием неизменной строки, которую можно извлечь из программы, поэтому злоумышленник способен подготовить архив с корректными суммами. В цепочке запрос на смену пароля, данные для обработчика восстановления и вредоносный архив объединяются в одном обращении к устройству.
В патче Barracuda убрала вызовы командной оболочки из кода изменения часового пояса, заменив их средствами Perl для чтения и записи файлов. Исправление также требует, чтобы указанный часовой пояс соответствовал существующему файлу в системном каталоге. В watchTowr Labs изучили эти изменения, сравнив версии ESG 9.4.0.027 и 9.4.0.029.
Затронутые устройства и исправления
CVE-2026-116606 относится только к ESG. Уязвимость внедрения команд CVE-2026-111560 присутствует во всех шести продуктах, перечисленных Barracuda. Для каждого компания указала отдельное исправление; для ESG его выбор зависит от установленной версии.
| Продукт | Затронутые уязвимости | Исправление |
|---|---|---|
| Email Security Gateway (ESG) | Обе | BNSF-40425 для 9.4.017 и новее; BNSF-40430 для более ранних версий |
| Load Balancer ADC | CVE-2026-111560 | BNADC-16586 |
| Message Archiver (BMA) | CVE-2026-111560 | BNMA-32468 |
| WAF Control Center (WCC) | CVE-2026-111560 | BNWF-60060 |
| Web Application Firewall (WAF) | CVE-2026-111560 | BNADC-16586 |
| Web Security Gateway (WSG) | CVE-2026-111560 | BNYF-24789 |
Доступ к административному интерфейсу остаётся обязательным условием успешной атаки. Barracuda советует не открывать его за пределами доверенных внутренних сетей и применять сетевые ограничения доступа. Если автоматическое обновление отключено или патч не установился, компания рекомендует поставить подходящее исправление вручную и включить автоматическое получение следующих обновлений.
Предыдущие атаки на ESG
В 2023 году Barracuda исправляла другую уязвимость ESG, CVE-2023-7102, которую группировка UNC4841 использовала для выполнения произвольного кода. В том же году стало известно об атаках этой группы через ранее неизвестную уязвимость CVE-2023-2868. Обе истории касались шлюзов ESG, но нынешние CVE относятся к другим ошибкам.
Позднее Barracuda сообщила, что CVE-2023-2868 эксплуатировали как минимум с октября 2022 года, за семь месяцев до обнаружения. Злоумышленники устанавливали на взломанные устройства ранее неизвестные вредоносные программы SeaSpy и Saltwater и похищали данные. По оценке компании Mandiant, почти треть взломанных в той кампании систем принадлежала государственным учреждениям; большинство из них атаковали с октября по декабрь 2022 года.
Barracuda сообщает о более чем 200 000 клиентах по всему миру, среди которых малые и средние компании, крупные предприятия и поставщики управляемых услуг. Эти данные не показывают масштаб нынешней атаки: для неё компания подтвердила эксплуатацию уязвимостей лишь в небольшом числе организаций и не назвала их.
