Ing. Calogero Bono
Barracuda ha rilasciato le patch per due vulnerabilità che, usate insieme, permettono a un attaccante remoto di eseguire comandi come root sull'Email Security Gateway senza alcun login. Il CSIRT Italia ha emesso un alert, segnalando la disponibilità di una prova di concetto (PoC). La società watchTowr ha pubblicato l'analisi tecnica della catena. Conta perché l'appliance filtra la posta aziendale e, se esposta, diventa un punto d'ingresso molto delicato.
कुछ शब्द, तथ्यों में जाने से पहले। CVE è il codice che identifica una vulnerabilità nota. PoC (Proof of Concept) è una dimostrazione che prova come sfruttare una falla. Authentication bypass significa aggirare il controllo di accesso. Command injection è l'inserimento di comandi di sistema in un campo che dovrebbe contenere solo dati. CVSS è il punteggio di gravità da 0 a 10.
Barracuda के साथ क्या हुआ?
Secondo l'alert dell'ACN, è disponibile una PoC per due falle, CVE-2026-116606 e CVE-2026-111560, che riguardano vari prodotti Barracuda. Concatenate, consentono a un attaccante remoto che raggiunga l'interfaccia amministrativa di eludere l'autenticazione ed eseguire codice arbitrario.
Come riferisce The Hacker News, l'azienda ha rilasciato le patch lunedì e watchTowr ha dettagliato la catena giovedì.
ये दोनों खामियाँ कैसे काम करती हैं?
La CVE-2026-116606 è un bypass dell'autenticazione e vale 9.3 su 10 (CVSS 4.0). Riguarda solo l'Email Security Gateway. Secondo l'ACN nasce da un errore nel cambio password amministrativo. Quando il cambio fallisce, il software segnala l'errore ma non ferma la richiesta.
La CVE-2026-111560 è una command injection da 8.6. Il campo del fuso orario (system_timezone) non neutralizza i metacaratteri della shell e i comandi vengono eseguiti con privilegi elevati. Di norma serve un account amministratore, ma sull'ESG il bypass lo concede.
बिना लॉगिन root तक कैसे पहुँचा जाता है?
Secondo l'analisi di watchTowr, riportata da The Hacker News, il cambio password fallito restituisce all'attaccante un ruolo con pochi privilegi invece di bloccare la richiesta. Questo lascia aperta una funzione di ripristino dei backup.
Il backup caricato contiene un valore di fuso orario che l'appliance poi esegue come comando di shell con permessi root. Barracuda protegge i backup con un checksum, ma il segreto per calcolarlo è scritto nel codice, quindi può essere falsificato. watchTowr ha dimostrato l'attacco scrivendo un file come root.
कौन से उत्पाद प्रभावित हैं और सुधार कैसे करें?
La command injection tocca sei prodotti.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Sui cinque diversi dall'ESG serve ancora un account amministratore. Barracuda ha una patch per ogni prodotto. L'Email Security Gateway è corretto dalla versione 9.4.0.030 in poi. Se non puoi aggiornare subito, limita l'interfaccia amministrativa alle reti interne fidate e riattiva gli aggiornamenti automatici se li avevi spenti.
ध्यान रखने योग्य सीमाएँ
Nessuna delle due falle risulta nel catalogo KEV della CISA e nessun rapporto pubblico le collega a un attacco. watchTowr ha diffuso uno strumento di rilevamento ma non un exploit. Resta da vedere se compariranno exploit pubblici. Le due fonti descrivono in modo un po' diverso il bypass, e l'elenco completo delle versioni sta solo nel bollettino del vendor.
डिजिटल क्षेत्र में काम करने वालों के लिए क्या बदलता है
Se la tua azienda usa un'appliance Barracuda, controlla subito la versione del firmware e applica la patch. Verifica poi se l'interfaccia amministrativa è raggiungibile da internet, perché è il requisito dell'attacco. Chi gestisce un'infrastruttura può restringere l'accesso come si fa con una subnet privata e i security group. Se i server li affidi a terzi, chiedi chi si occupa degli aggiornamenti, come nell'hosting gestito.
हमारी राय
Il caso mostra un errore classico. Un controllo che segnala il problema ma non interrompe il flusso vale poco. A questo si somma un segreto fisso nel codice per il checksum, che non ferma nessuno. Una difesa perimetrale non dovrebbe aprire un accesso root remoto. Ricorda anche la falla di APT con installazioni come root. Non servono allarmismi, ma la patch va fatta ora.
अक्सर पूछे जाने वाले सवाल
क्या Barracuda ESG पर इस चेन का फायदा उठाने के लिए लॉगिन की जरूरत होती है?
नहीं। The Hacker News के अनुसार जुड़ी हुई दोनों खामियाँ बिना लॉगिन के root तक पहुँच देती हैं। फिर भी हमलावर को उपकरण के एडमिनिस्ट्रेटिव इंटरफ़ेस तक पहुँचना होगा।
Email Security Gateway के कौन से संस्करण सुरक्षित हैं?
संस्करण 9.4.0.030 और उसके बाद के। हर उत्पाद का विवरण Barracuda के सुरक्षा बुलेटिन में मिलेगा।
क्या ये खामियाँ हमलों में पहले से इस्तेमाल हो चुकी हैं?
ऐसा कोई संकेत नहीं है। स्रोतों के अनुसार ये CISA की KEV सूची में नहीं हैं और किसी सार्वजनिक रिपोर्ट में इन्हें किसी हमले से नहीं जोड़ा गया है। हालाँकि एक PoC उपलब्ध है।
अगर मैं तुरंत अपडेट नहीं कर सकता तो क्या करूँ?
एडमिनिस्ट्रेशन इंटरफ़ेस को केवल भरोसेमंद आंतरिक नेटवर्क तक सीमित करें। अगर आपने स्वचालित अपडेट बंद किए थे, तो उन्हें दोबारा चालू करें।
दोनों CVE किसने जारी किए?
The Hacker News के अनुसार Mandiant ने, जिसने दोनों CVE असाइन किए। Mandiant ने बाईपास को 10 में से 9.3 और command injection को 8.6 आंका।
Barracuda की appliance पर अगले कुछ हफ्तों में क्या देखें
पैच उपलब्ध है, लेकिन PoC मौजूद है और घोषणा व हमलों के बीच का समय छोटा होता जा रहा है। इस पर नज़र बनाए रखना बेहतर है।
- जाँचें कि क्या दोनों CVE CISA की KEV सूची में जुड़ते हैं या कोई सार्वजनिक exploit सामने आता है।
- अपनी appliance जाँचने के लिए watchTowr के detection टूल का उपयोग करें।
- ESG के अलावा बाकी उत्पादों के लिए Barracuda बुलेटिन दोबारा पढ़ें और सही संस्करण की पुष्टि करें।
