Barracuda zakrpila lanac propusta do root pristupa bez prijave
Barracuda je objavila zakrpe za dve ranjivosti u uređaju Email Security Gateway koje se, kada se povežu, mogu iskoristiti za izvršavanje komandi sa root ovlašćenjima bez prijave. Mandiant je propust za zaobilaženje autorizacije CVE-2026-116606 ocenio sa 9,3 od 10, a propust za ubrizgavanje komandi CVE-2026-111560 sa 8,6. Problem u Email Security Gatewayu otklonjen je u firmveru 9.4.0.030 i novijim izdanjima.
Lanac spaja zaobilaženje autorizacije i ubrizgavanje komandi
CVE-2026-116606 pogađa isključivo Email Security Gateway. Neautentifikovani napadač može da ga iskoristi za vraćanje posebno pripremljene rezervne kopije konfiguracije i izmenu globalnih podešavanja uređaja.
Drugi propust, CVE-2026-111560, omogućava ubrizgavanje komandi koje se izvršavaju sa root ovlašćenjima. On pogađa i pet drugih Barracuda proizvoda, ali je za njihovu zloupotrebu i dalje potreban administratorski nalog. Upravo zaobilaženje autorizacije na Email Security Gatewayu uklanja taj uslov i čini spoj ova dva propusta naročito ozbiljnim.
Tehnički detalji napada
Analiza kompanije watchTowr opisuje tok napada kroz kod uređaja. Kada promena lozinke ne uspe, zahtev ne prestaje potpuno, već napadač dobija ulogu sa ograničenim privilegijama. Time funkcija za vraćanje rezervne kopije ostaje dostupna iako korisnik nije prijavljen.
Funkcija prihvata otpremljenu konfiguracionu kopiju. Među vraćenim podacima nalazi se vrednost vremenske zone, koju uređaj kasnije izvršava kao komandu ljuske sa root privilegijama. Barracuda štiti rezervne kopije kontrolnom sumom, ali je tajna potrebna za njen obračun ugrađena u kod, pa napadač može da napravi kopiju sa valjanom proverom integriteta.
watchTowr je demonstrirao lanac tako što je kao root upisao datoteku na uređaj. Kompanija je objavila i alat za proveru ranjivosti, ali nije objavila eksploatacioni kod.
Koraci za administratore
Barracuda preporučuje primenu zakrpa za svaki pogođeni proizvod ili nadogradnju na navedene ispravljene verzije firmvera. Za Email Security Gateway to znači najmanje verziju 9.4.0.030.
Ako zakrpa ne može odmah da se primeni, administrativni interfejs uređaja treba ograničiti na pouzdane interne mreže. Organizacije koje su isključile automatsko zakrpljivanje treba ponovo da ga uključe.
Za sada se nijedna od dve ranjivosti ne nalazi u CISA katalogu Known Exploited Vulnerabilities, niti postoji javni izveštaj koji ih povezuje sa napadima. Incidenti iz 2023. godine, kada je grupa UNC4841 iskoristila nepovezanu nultodnevnu ranjivost CVE-2023-2868, nisu povezani sa novim propustima. Praktičan poslovni zaključak je da treba bez odlaganja proveriti verzije Barracuda uređaja, primeniti zakrpe i ograničiti administrativni pristup dok se nadogradnja ne završi.