A Barracuda Networks két súlyos sérülékenységet javított hálózati biztonsági termékeiben, amelyek együttes kihasználásával akár teljes, root szintű hozzáférés is szerezhető az érintett eszközök felett. A vállalat ezért sürgősen frissítésre szólítja fel az ügyfeleit.

Milyen hibákról van szó?

Az első, CVE-2026-116606 jelű, kritikus besorolású sérülékenység a Barracuda Email Security Gateway (ESG) hitelesítési mechanizmusát érinti. A hiba kritikus besorolású, mert kihasználásával a támadó módosíthatja az eszköz globális konfigurációját, vagyis megkerülheti a jogosultsági ellenőrzést.

A második, CVE-2026-111560 jelű, magas besorolású hiba parancsbefecskendezést tesz lehetővé. Ha egy támadó már rendelkezik adminisztrátori jogosultsággal az érintett terméken, operációs rendszer szintű parancsokat futtathat root felhasználóként, ami az eszközön a lehető legmagasabb szintű hozzáférést jelenti.

Mennyire súlyos a kockázat?

A Barracuda szerint a sikeres támadáshoz a támadónak hozzá kell férnie az érintett termék adminisztrációs felületéhez. Ez csökkenti a hálózati szempontból jól elkülönített környezetekben a közvetlen kockázatot, de nem teszi elhanyagolhatóvá a hibákat. Ha a két sérülékenységet kombinálva használják ki, a támadó először megkerülheti a jogosultsági ellenőrzést, majd root hozzáférést szerezhet. Ettől a szinttől kezdve titkos konfigurációkat olvashat vagy módosíthat, hátsó ajtót telepíthet, és akár a védett e-mail vagy webes forgalmat is manipulálhatja.

Mely termékeket érinti?

A parancsbefecskendezési hiba több Barracuda terméket érint, míg a hitelesítési probléma kifejezetten az Email Security Gateway-hez kapcsolódik. A vállalat minden érintett eszközhöz külön javítócsomagot adott ki.

A sérülékenységek közül a hitelesítési hibát, a CVE-2026-116606-ot kizárólag a Barracuda Email Security Gateway érinti, és a BNSF-40425-ös javítócsomag a 9.4.017-es vagy újabb verziókhoz, míg a BNSF-40430 a régebbi verziókhoz érhető el. A parancsbefecskendezési hibát, a CVE-2026-111560-at viszont minden felsorolt terméknél észlelték, így az Email Security Gateway mellett a Load Balancer ADC, a Message Archiver, a WAF Control Center, a Web Application Firewall és a Web Security Gateway is érintett. Az érintett termékekhez eltérő javítócsomagok tartoznak: a Load Balancer ADC és a Web Application Firewall esetében a BNADC-16586, a Message Archivernél a BNMA-32468, a WAF Control Centerhez a BNWF-60060, a Web Security Gatewayhez pedig a BNYF-24789.

Mit kell tenni a rendszergazdáknak?

A Barracuda javasolja, hogy a szervezetek azonnal ellenőrizzék, használják-e az érintett termékeket, majd telepítsék a legújabb firmware verziót és az összes elérhető biztonsági javítást. A frissítés önmagában fontos, de nem helyettesíti a megfelelő hálózati elkülönítést.

Az adminisztrációs felületeket érdemes kizárólag megbízható belső hálózatból vagy dedikált menedzsment hálózatból elérhetővé tenni. A nyilvános internetről közvetlenül elérhető eszközkezelő felület jelentősen növeli a támadási felületet, még akkor is, ha a hibák kihasználásához adminisztrátori jogosultság szükséges.

Miért érdemes különösen figyelni?

A Barracuda ESG eszközök már korábban is célba kerültek. 2023-ban az UNC4841 néven ismert támadói csoport két zero-day sérülékenységet, a CVE-2023-7102 és a CVE-2023-2868 jelű hibákat használta ki kibertámadásokban, hogy tetszőleges kódot futtasson a javítatlan eszközökön. A második hibát legalább 2022 októberétől, mintegy hét hónapon át használták ki, és a támadók a SeaSpy és Saltwater néven ismert, korábban ismeretlen kártevőket telepítettek az érintett rendszerekre.

(forrás)