Barracuda propusti omogućavaju zaobilaženje autorizacije i root pristup
Barracuda je objavila detalje o dve ranjivosti koje se, ako se iskoriste zajedno, mogu upotrebiti za zaobilaženje kontrola autorizacije i sticanje root pristupa pogođenom uređaju. Reč je o propustima CVE-2026-116606, sa CVSS ocenom 9,3, i CVE-2026-111560, sa ocenom 8,6.
Prva ranjivost je pre-autentifikaciono zaobilaženje autorizacije i pogađa isključivo Barracuda Email Security Gateway. Druga je komandna injekcija, a njen obuhvat je širi: Email Security Gateway, Load Balancer, Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall i Web Security Gateway.
Rizik zavisi od dostupnosti administrativnog interfejsa
Za uspešnu zloupotrebu napadač mora imati pristup administrativnom interfejsu pogođenog proizvoda. Barracuda navodi da povezivanje ova dva propusta može omogućiti zaobilaženje autorizacije i dobijanje root privilegija na uređaju.
Organizacije koje administrativne interfejse ne izlažu internetu manje su izložene opisanom putu napada. To ne uklanja potrebu za zakrpama, ali jasno stavlja mrežnu izloženost upravljačkih površina u središte procene prioriteta.
Provera firmvera i ograničavanje pristupa
Barracuda preporučuje ograničavanje pristupa administrativnim interfejsima na pouzdane interne mreže i primenu odgovarajućih mrežnih kontrola pristupa. Kupci treba da potvrde da uređaji koriste najnovije verzije firmvera i da su primenjene sve bezbednosne zakrpe.
Kada je firmver uređaja zastareo za više verzija, za dostizanje aktuelnog izdanja može biti potrebno više uzastopnih ažuriranja. Zato je važno unapred proveriti verziju na svakom uređaju i planirati postupak nadogradnje u skladu sa dostupnim putanjama ažuriranja.
Operativni prioritet za IT timove
Praktičan poslovni korak je inventarisati pogođene Barracuda proizvode, utvrditi da li su njihovi administrativni interfejsi dostupni izvan pouzdanih mreža i proveriti stanje firmvera. Ograničavanje pristupa uz pravovremeno ažuriranje smanjuje izloženost lancu koji može dovesti do zaobilaženja autorizacije i root pristupa.