Twee kwetsbaarheden in Barracuda’s Email Security Gateway, een apparaat voor e-mailfiltering, kunnen aaneengeschakeld worden om zonder inloggen commando’s op het apparaat uit te voeren als root, het hoogste toegangslevel.
Het bedrijf bracht maandag patches uit, en het beveiligingsbedrijf watchTowr publiceerde donderdag een gedetailleerde analyse van de aanvalsketen.
De ene kwetsbaarheid, CVE-2026-116606, is een omzeiling van autorisatie. Een niet-geauthenticeerde aanvaller kan deze misbruiken om een speciaal bewerkte configuratie-backup te herstellen en de globale instellingen van het apparaat te wijzigen.
De andere, CVE-2026-111560, is een command injection. Die voert commando’s uit als root maar vereist normaal een beheerdersaccount; op de Email Security Gateway geeft de omzeiling een aanvaller die toegang. In combinatie stellen beide kwetsbaarheden een aanvaller in staat root-toegang te bereiken zonder in te loggen.
Getroffen producten en oplossingen
De omzeiling van autorisatie treft alleen de Email Security Gateway. De command injection raakt nog vijf andere producten, maar op die apparaten is nog steeds een beheerdersaccount nodig.
Mandiant, dat de twee CVE-records toekende, waardeert de omzeiling met 9,3 uit 10 en de command injection met 8,6. Barracuda heeft voor elk getroffen product een patch uitgebracht en vermeldt de opgeloste firmwareversies in zijn security advisory. De Email Security Gateway is verholpen in versie 9.4.0.030 en later.
Wat te doen
Het advies beschrijft drie stappen:
- Installeer de patch voor elk getroffen product, of update naar de hierboven genoemde opgeloste firmware.
- Als u niet meteen kunt patchen, beperk dan de beheerdersinterface van het apparaat tot vertrouwde interne netwerken.
- Als u automatische updates hebt uitgeschakeld, zet ze dan weer aan.
Hoe de keten werkt
In zijn technische analyse tracede watchTowr de keten door de code van het apparaat. Een mislukte wachtwoordwijziging geeft de aanvaller een rol met lage rechten terug in plaats van het verzoek te blokkeren, waardoor een functie voor het herstellen van backups toegankelijk blijft voor iemand die niet is ingelogd.
Die functie accepteert een geüploade backup, en de herstelde gegevens bevatten een tijdzonewaarde die het apparaat later als een shell-commando uitvoert met rootrechten. Barracuda beschermt backups met een checksum, maar het geheim dat voor die checksum wordt gebruikt, zit in de code zelf, waardoor een aanvaller een geldige checksum kan vervalsen. Het bedrijf demonstreerde de aanval door als root een bestand op het apparaat te schrijven.
Tot deze week staat geen van beide fouten vermeld in de Known Exploited Vulnerabilities (KEV)-catalogus van CISA, en er is geen openbaar rapport dat een van beide aan een aanval koppelt. watchTowr heeft ook een detectietool vrijgegeven die controleert of een apparaat kwetsbaar is, maar heeft geen exploit gepubliceerd.
De Email Security Gateway werd in 2023 getroffen in aanvallen door een groep die als UNC4841 wordt gevolgd; die groep misbruikte destijds een andere kwetsbaarheid, CVE-2023-2868, als zero-day. Die zaak hangt niet samen met de twee deze week gepatchte fouten, en er is niets dat de nieuwe twee aan een specifieke aanvaller koppelt.
