Ing. Calogero Bono
Barracuda wydała łatki na dwie podatności, które użyte razem pozwalają zdalnemu atakującemu wykonać polecenia jako root w Email Security Gateway bez jakiegokolwiek logowania. CSIRT Italia wydał alert, sygnalizując dostępność dowodu koncepcji (PoC). Firma watchTowr opublikowała analizę techniczną tego łańcucha. Ma to znaczenie, bo urządzenie filtruje pocztę firmową i w razie wystawienia na zewnątrz staje się bardzo wrażliwym punktem wejścia.
Kilka pojęć, zanim przejdziemy do faktów. CVE to kod identyfikujący znaną podatność. PoC (Proof of Concept) to demonstracja pokazująca, jak wykorzystać lukę. Authentication bypass oznacza obejście kontroli dostępu. Command injection to wstrzyknięcie poleceń systemowych w pole, które powinno zawierać tylko dane. CVSS to wskaźnik powagi od 0 do 10.
Co się stało z Barracuda?
Według alertu ACN dostępne jest PoC dla dwóch luk, CVE-2026-116606 i CVE-2026-111560, które dotyczą kilku produktów Barracuda. Połączone pozwalają zdalnemu atakującemu, który dotrze do interfejsu administracyjnego, obejść uwierzytelnianie i wykonać dowolny kod.
Jak podaje The Hacker News, firma wydała łatki w poniedziałek, a watchTowr szczegółowo opisał łańcuch w czwartek.
Jak działają te dwie luki?
CVE-2026-116606 to obejście uwierzytelniania oceniane na 9.3 w skali 10 (CVSS 4.0). Dotyczy tylko Email Security Gateway. Według ACN wynika z błędu przy zmianie hasła administratora. Gdy zmiana się nie udaje, oprogramowanie zgłasza błąd, ale nie zatrzymuje żądania.
CVE-2026-111560 to command injection z oceną 8.6. Pole strefy czasowej (system_timezone) nie neutralizuje metaznaków powłoki, a polecenia są wykonywane z podwyższonymi uprawnieniami. Zwykle potrzebne jest konto administratora, ale na ESG obejście je przyznaje.
Jak dochodzi się do root bez logowania?
Według analizy watchTowr, przytoczonej przez The Hacker News, nieudana zmiana hasła przydziela atakującemu rolę z małymi uprawnieniami zamiast blokować żądanie. Zostaje otwarta funkcja przywracania kopii zapasowych.
Przesłana kopia zawiera wartość strefy czasowej, którą urządzenie wykonuje potem jako polecenie powłoki z uprawnieniami root. Barracuda chroni kopie sumą kontrolną, ale sekret do jej obliczenia jest zapisany w kodzie, więc można go podrobić. watchTowr zademonstrował atak, zapisując plik jako root.
Które produkty są dotknięte i jak to naprawić?
Command injection dotyczy sześciu produktów.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
W przypadku pięciu produktów innych niż ESG nadal potrzebne jest konto administratora. Barracuda ma łatkę dla każdego produktu. Email Security Gateway jest poprawiony od wersji 9.4.0.030. Jeśli nie możesz od razu zaktualizować, ogranicz interfejs administracyjny do zaufanych sieci wewnętrznych i włącz ponownie automatyczne aktualizacje, jeśli je wyłączałeś.
Ograniczenia, o których warto wiedzieć
Żadna z dwóch luk nie figuruje w katalogu KEV agencji CISA i żaden publiczny raport nie łączy ich z atakiem. watchTowr udostępnił narzędzie do wykrywania, ale nie exploit. Trzeba poczekać, czy pojawią się publiczne exploity. Oba źródła opisują obejście nieco inaczej, a pełna lista wersji znajduje się tylko w biuletynie producenta.
Co zmienia się dla osób pracujących w obszarze cyfrowym
Jeśli Twoja firma używa urządzenia Barracuda, sprawdź od razu wersję firmware i zainstaluj łatkę. Potem zweryfikuj, czy interfejs administracyjny jest dostępny z internetu, bo to wymóg tego ataku. Osoby zarządzające infrastrukturą mogą ograniczyć dostęp, tak jak w przypadku prywatnej podsieci i grup zabezpieczeń. Jeśli serwery powierzyłeś firmom zewnętrznym, zapytaj, kto zajmuje się aktualizacjami, tak jak w zarządzanym hostingu.
Nasza opinia
Ten przypadek pokazuje klasyczny błąd. Kontrola, która sygnalizuje problem, ale nie przerywa przepływu, niewiele warta. Do tego dochodzi stały sekret w kodzie do sumy kontrolnej, który nikogo nie powstrzymuje. Zabezpieczenie brzegowe nie powinno otwierać zdalnego dostępu root. Przypomnij sobie też lukę w APT z instalacjami jako root. Nie ma powodu do paniki, ale łatkę trzeba zainstalować teraz.
Najczęstsze pytania
Czy do wykorzystania łańcucha na Barracuda ESG potrzebne jest logowanie?
Nie. Według The Hacker News dwie połączone luki prowadzą do root bez logowania. Atakujący musi jednak dotrzeć do interfejsu administracyjnego urządzenia.
Które wersje Email Security Gateway są poprawne?
Wersja 9.4.0.030 i nowsze. Szczegóły dla każdego produktu znajdziesz w biuletynie bezpieczeństwa Barracuda.
Czy luki są już wykorzystywane w atakach?
Nie wygląda na to. Źródła mówią, że nie ma ich w katalogu KEV agencji CISA i żaden publiczny raport nie łączy ich z atakiem. PoC jest jednak dostępne.
Co zrobić, jeśli nie mogę od razu zaktualizować?
Ogranicz interfejs administracyjny do zaufanych sieci wewnętrznych. Jeśli wyłączyłeś automatyczne aktualizacje, włącz je ponownie.
Kto nadał dwa CVE?
Mandiant, według The Hacker News. Mandiant, który przypisał obie CVE, ocenił obejście autoryzacji na 9.3 w skali 10 i command injection na 8.6.
Na co zwrócić uwagę w najbliższych tygodniach w urządzeniach Barracuda
Łatka jest dostępna, ale PoC już krąży, a okno między ogłoszeniem a atakami się skraca. Warto śledzić rozwój sytuacji.
- Sprawdzaj, czy obie CVE trafią do katalogu KEV agencji CISA lub czy pojawią się publiczne exploity.
- Użyj narzędzia do wykrywania watchTowr, aby sprawdzić swoje urządzenia.
- Ponownie przeczytaj biuletyn Barracuda dla produktów innych niż ESG i potwierdź poprawne wersje.
