Ing. Calogero Bono
Barracuda heeft patches uitgebracht voor twee kwetsbaarheden die samen een aanvaller op afstand in staat stellen commando's als root uit te voeren op de Email Security Gateway, zonder enige login. Het CSIRT Italia heeft een alert uitgegeven en meldt dat er een proof of concept (PoC) beschikbaar is. Het bedrijf watchTowr heeft de technische analyse van de keten gepubliceerd. Dat is belangrijk omdat het apparaat je bedrijfspost filtert en, als het bloot aan internet staat, een zeer gevoelig toegangspunt wordt.
Een paar termen, voordat we de feiten induiken. CVE is de code die een bekende kwetsbaarheid identificeert. PoC (Proof of Concept) is een demonstratie die laat zien hoe je een lek kunt misbruiken. Authentication bypass betekent het omzeilen van de toegangscontrole. Command injection is het invoegen van systeemcommando's in een veld dat alleen gegevens zou moeten bevatten. CVSS is de ernstscore van 0 tot 10.
Wat is er gebeurd met Barracuda?
Volgens de alert van de ACN is er een PoC beschikbaar voor twee lekken, CVE-2026-116606 en CVE-2026-111560, die verschillende Barracuda-producten treffen. Samen maken ze het mogelijk dat een aanvaller op afstand die de beheerinterface bereikt de authenticatie omzeilt en willekeurige code uitvoert.
Zoals The Hacker News meldt, heeft het bedrijf maandag de patches uitgebracht en heeft watchTowr donderdag de keten uitgewerkt.
Hoe werken de twee lekken?
CVE-2026-116606 is een omzeiling van de authenticatie en scoort 9,3 op 10 (CVSS 4.0). Het betreft alleen de Email Security Gateway. Volgens de ACN ontstaat het door een fout bij het wijzigen van het beheerderswachtwoord. Wanneer de wijziging mislukt, meldt de software de fout maar stopt ze het verzoek niet.
CVE-2026-111560 is een command injection met score 8,6. Het veld voor de tijdzone (system_timezone) neutraliseert de metatekens van de shell niet, waardoor commando's met verhoogde rechten worden uitgevoerd. Normaal gesproken is een beheerdersaccount nodig, maar op de ESG verleent de bypass die.
Hoe kom je zonder login bij root?
Volgens de analyse van watchTowr, weergegeven door The Hacker News, geeft de mislukte wachtwoordwijziging de aanvaller een rol met weinig rechten in plaats van het verzoek te blokkeren. Zo blijft een functie voor het herstellen van back-ups open.
De geüploade back-up bevat een waarde voor de tijdzone die het apparaat vervolgens uitvoert als shellcommando met root-rechten. Barracuda beveiligt back-ups met een checksum, maar het geheim om die te berekenen staat in de code, dus het kan worden vervalst. watchTowr heeft de aanval gedemonstreerd door als root een bestand te schrijven.
Welke producten zijn getroffen en hoe los je het op?
De command injection raakt zes producten.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Bij de vijf andere dan de ESG is nog steeds een beheerdersaccount nodig. Barracuda heeft voor elk product een patch. De Email Security Gateway is gecorrigeerd vanaf versie 9.4.0.030. Als je niet meteen kunt updaten, beperk dan de beheerinterface tot vertrouwde interne netwerken en zet de automatische updates weer aan als je ze had uitgeschakeld.
Beperkingen om te kennen
Geen van beide lekken staat in de KEV-catalogus van de CISA en er is geen openbaar rapport dat ze aan een aanval koppelt. watchTowr heeft een detectietool verspreid, maar geen exploit. Het is nog afwachten of er openbare exploits verschijnen. De twee bronnen beschrijven de bypass iets verschillend, en de volledige lijst met versies staat alleen in het bulletin van de leverancier.
Wat verandert er voor wie met digitale techniek werkt
Als jouw bedrijf een Barracuda-apparaat gebruikt, controleer dan meteen de firmwareversie en pas de patch toe. Kijk daarna of de beheerinterface vanaf internet bereikbaar is, want dat is de voorwaarde voor de aanval. Wie een infrastructuur beheert, kan de toegang beperken zoals bij een privé-subnet en security groups. Als je servers aan derden toevertrouwt, vraag dan wie de updates doet, zoals bij beheerde hosting.
Ons oordeel
Dit geval toont een klassieke fout. Een controle die het probleem signaleert maar de stroom niet onderbreekt, heeft weinig waarde. Daarbij komt een vaste geheime sleutel in de code voor de checksum, die niemand tegenhoudt. Een perimeterverdediging zou geen root-toegang op afstand mogen openzetten. Denk ook aan het APT-lek bij installaties als root. Paniek is niet nodig, maar de patch moet nu worden toegepast.
Veelgestelde vragen
Is er een login nodig om de keten op Barracuda ESG te misbruiken?
Nee. Volgens The Hacker News leiden de twee gekoppelde lekken tot root zonder login. De aanvaller moet wel de beheerinterface van het apparaat kunnen bereiken.
Welke versies van de Email Security Gateway zijn gecorrigeerd?
Versie 9.4.0.030 en latere. De details per product staan in het beveiligingsbulletin van Barracuda.
Worden de lekken al actief misbruikt?
Dat is niet bekend. De bronnen melden dat ze niet in de KEV-catalogus van de CISA staan en dat geen openbaar rapport ze aan een aanval koppelt. Er is wel een PoC beschikbaar.
Wat moet ik doen als ik niet meteen kan updaten?
Beperk de beheerinterface tot vertrouwde interne netwerken. Zet ook de automatische updates weer aan als je ze had uitgeschakeld.
Wie heeft de twee CVE's toegekend?
Mandiant, volgens The Hacker News. Mandiant, dat de twee CVE's heeft toegekend, gaf de bypass een score van 9,3 op 10 en de command injection een 8,6.
Waar je de komende weken op moet letten bij Barracuda-apparaten
De patch is er, maar de PoC is beschikbaar en het tijdsvenster tussen aankondiging en aanvallen wordt korter. Het loont om de ontwikkelingen te volgen.
- Controleer of de twee CVE's in de KEV-catalogus van de CISA terechtkomen of dat er openbare exploits verschijnen.
- Gebruik de detectietool van watchTowr om je apparaten te controleren.
- Lees het Barracuda-bulletin opnieuw voor de producten naast de ESG en bevestig de juiste versies.
