Details zu den Sicherheitslücken
Barracuda hat Software-Patches zur Behebung zweier Sicherheitslücken in seinen Email Security Gateway (ESG)-Appliances angekündigt. Diese Schwachstellen können in einer Kette ausgenutzt werden, um vollständigen Root-Zugriff auf die betroffenen Geräte zu erlangen.
Die erste Schwachstelle mit der Kennung CVE-2026-116606 betrifft die Umgehung der Authentifizierungsmechanismen und wirkt sich ausschließlich auf ESG-Geräte aus. Sie ermöglicht es einem nicht authentifizierten Angreifer, die Funktion zum Importieren von Einstellungen aufzurufen und ein manipuliertes Backup-Archiv wiederherzustellen, was zu einer unbefugten Änderung der globalen Geräteeinstellungen führt. Diese Schwachstelle erhielt einen Schweregrad von 9,3 auf der CVSS-Skala.
Die zweite Schwachstelle mit der Kennung CVE-2026-111560 ist eine Command-Injection-Schwachstelle in den Zeitzoneneinstellungen. Sie betrifft neben ESG-Geräten auch fünf weitere Barracuda-Produkte, darunter Load Balancer (ADC) und Web Application Firewalls (WAF). Diese Schwachstelle, die mit 8,6 bewertet wurde, erlaubt es Benutzern mit Administratorrechten, Betriebssystembefehle mit Root-Rechten auszuführen.
Warum ist diese Nachricht wichtig?
Die Gefahr liegt in der Möglichkeit, diese beiden Schwachstellen zu kombinieren, wodurch Angreifer Autorisierungskontrollen umgehen und die vollständige Kontrolle über das Gerät erlangen können. Da E-Mail-Sicherheits-Appliances als erste Verteidigungslinie in Unternehmen fungieren, öffnet ihre Kompromittierung Tür und Tor für weitreichende Sicherheitsbedrohungen, einschließlich Spionage oder dem Abfangen sensibler Kommunikation.
Was müssen Benutzer tun?
Barracuda empfiehlt allen Kunden, umgehend folgende Schritte zu unternehmen:
- Aktualisierung der Geräte auf die neueste Firmware-Version und Sicherstellung, dass alle verfügbaren Patches installiert sind.
- Aktivierung automatischer Updates, falls diese deaktiviert sind, und manuelle Installation aller Patches, die nicht automatisch angewendet wurden.
- Beschränkung des Zugriffs auf die Geräteverwaltungsschnittstellen auf vertrauenswürdige interne Netzwerke, um die Angriffsfläche zu verringern.
Es ist erwähnenswert, dass das Unternehmen Mandiant, das an der Entdeckung dieser Schwachstellen beteiligt war, darauf hingewiesen hat, dass die Schwachstelle zur Umgehung der Authentifizierung in ESG ohne Anmeldedaten ausgenutzt werden kann, was sie zu einer Priorität für die Fehlerbehebung macht.