Společnost Barracuda Networks varuje, že útočníci začali zneužívat dvě nedávno opravené zranitelnosti v bráně Email Security Gateway (ESG). Ty jim umožňují spouštět příkazy s oprávněním roota.
Barracuda vydala bezpečnostní aktualizace pro obě chyby, označené jako CVE-2026-116606 a CVE-2026-111560, před týdnem. První vychází ze slabiny v ověřování ESG a útočník přes ni může měnit globální konfiguraci zařízení. Druhá umožňuje neověřeným útočníkům vložit příkazy operačního systému, které se spustí s právy roota. Brána ESG je zasažena oběma chybami. Druhá zranitelnost se týká i dalších produktů, konkrétně Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall a Web Security Gateway.
Útok vyžaduje přístup ke správcovskému rozhraní
Barracuda uvádí, že úspěšný útok vyžaduje přístup ke správcovskému uživatelskému rozhraní (Admin UI) cílového zařízení. Zákazníkům proto doporučuje omezit přístup na důvěryhodné interní sítě a expozici dále snížit vhodnými kontrolami síťového přístupu.
„Úspěšné zneužití vyžaduje, aby měl útočník přístup ke správcovskému rozhraní dotčeného produktu. Při kombinovaném zneužití by tyto zranitelnosti mohly útočníkovi umožnit obejít autorizační kontroly a získat k zařízení přístup s právy roota,“ vysvětlila společnost.
Později Barracuda původní bezpečnostní upozornění aktualizovala. Správce v něm varuje, že obě chyby už útočníci zneužívají proti omezenému počtu zákazníků.
„Barracuda okamžitě zahájila komplexní nápravný proces a vydala bezpečnostní záplaty pro dotčené produkty. Zjistili jsme aktivitu spojenou se zneužitím, která postihla malý počet organizací,“ uvedla firma.
„Pokud záplata nebyla nainstalována automaticky, měli by ji zákazníci co nejdříve nainstalovat ručně. Pokud zákazníci vypnuli automatické záplatování, Barracuda doporučuje nastavit zařízení tak, aby záplaty dostávala automaticky,“ dodala.
Brány ESG jsou častým cílem
Barracuda ESG není cílem útočníků poprvé. Před třemi lety společnost opravila jinou chybu v bráně Email Security Gateway (CVE-2023-7102), kterou hackerská skupina UNC4841 zneužívala při útocích nultého dne ke spouštění libovolného kódu. Téhož roku stejná skupina zneužila další zranitelnost nultého dne (CVE-2023-2868) při sérii kyberšpionážních útoků na zařízení Barracuda ESG.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
