Detalles de las vulnerabilidades de seguridad
Barracuda ha anunciado el lanzamiento de parches de software para abordar dos vulnerabilidades de seguridad en sus dispositivos de puerta de enlace de seguridad de correo electrónico (Email Security Gateway - ESG), donde estas dos vulnerabilidades pueden explotarse de forma secuencial para obtener privilegios de acceso total (Root) a los dispositivos afectados.
La primera vulnerabilidad, identificada con el código CVE-2026-116606, consiste en un bypass del mecanismo de autenticación y afecta exclusivamente a los dispositivos ESG, permitiendo a un atacante no autenticado llamar a la función de importación de configuración y restaurar un archivo de copia de seguridad modificado, lo que resulta en una modificación no autorizada de la configuración global del dispositivo. Esta vulnerabilidad ha recibido una calificación de severidad de 9.3 en la escala CVSS.
Por otro lado, la segunda vulnerabilidad, identificada con el código CVE-2026-111560, es una vulnerabilidad de inyección de comandos (Command Injection) que se encuentra en la configuración de la zona horaria y afecta a los dispositivos ESG, además de otros cinco productos de Barracuda, incluidos los equilibradores de carga (ADC) y los firewalls de aplicaciones web (WAF). Esta vulnerabilidad, que obtuvo una calificación de 8.6, permite a los usuarios con privilegios de administrador ejecutar comandos del sistema operativo con privilegios de root.
¿Por qué es importante esta noticia?
El peligro radica en la posibilidad de combinar estas dos vulnerabilidades, lo que otorga a los atacantes la capacidad de eludir los controles de autorización y obtener el control total del dispositivo. Dado que los dispositivos de seguridad de correo electrónico actúan como la primera línea de defensa en las organizaciones, su compromiso abre la puerta a amenazas de seguridad a gran escala, incluyendo el espionaje o la interceptación de comunicaciones sensibles.
¿Qué deben hacer los usuarios?
Barracuda recomienda a todos los clientes tomar las siguientes medidas de inmediato:
- Actualizar los dispositivos a la versión más reciente del firmware y asegurarse de que todos los parches disponibles estén instalados.
- Activar las actualizaciones automáticas en caso de que estén desactivadas, y asegurarse de instalar manualmente cualquier parche que no se haya aplicado automáticamente.
- Limitar el acceso a las interfaces de administración de los dispositivos únicamente a redes internas de confianza para reducir la superficie de ataque.
Cabe señalar que Mandiant, que contribuyó al descubrimiento de estas vulnerabilidades, indicó que la vulnerabilidad de bypass de autenticación en ESG puede explotarse sin necesidad de credenciales, lo que la convierte en una prioridad máxima para la corrección.