Détails des vulnérabilités de sécurité
Barracuda a annoncé la publication de correctifs logiciels pour traiter deux vulnérabilités de sécurité dans ses passerelles de sécurité de messagerie (Email Security Gateway - ESG), ces deux vulnérabilités pouvant être exploitées de manière séquentielle pour obtenir un accès complet (Root) aux appareils affectés.
La première vulnérabilité, portant la référence CVE-2026-116606, consiste en un contournement du mécanisme d'authentification et affecte exclusivement les appareils ESG. Elle permet à un attaquant non authentifié d'appeler la fonction d'importation de configuration et de restaurer une archive de sauvegarde modifiée, entraînant une modification non autorisée des paramètres globaux de l'appareil. Cette vulnérabilité a reçu un score de criticité de 9,3 sur l'échelle CVSS.
La seconde vulnérabilité, portant la référence CVE-2026-111560, est une vulnérabilité d'injection de commandes (Command Injection) située dans les paramètres du fuseau horaire. Elle affecte les appareils ESG ainsi que cinq autres produits de Barracuda, notamment les équilibreurs de charge (ADC) et les pare-feu d'applications Web (WAF). Cette vulnérabilité, qui a reçu une évaluation de 8,6, permet aux utilisateurs disposant de privilèges d'administrateur d'exécuter des commandes du système d'exploitation avec des privilèges root.
Pourquoi cette nouvelle est-elle importante ?
Le danger réside dans la possibilité de combiner ces deux vulnérabilités, ce qui donne aux attaquants la capacité de contourner les contrôles d'autorisation et de prendre le contrôle total de l'appareil. Étant donné que les appareils de sécurité de messagerie servent de première ligne de défense dans les organisations, leur compromission ouvre la porte à des menaces de sécurité à grande échelle, notamment l'espionnage ou l'interception de communications sensibles.
Que doivent faire les utilisateurs ?
Barracuda recommande à tous ses clients de prendre immédiatement les mesures suivantes :
- Mettre à jour les appareils vers la dernière version du micrologiciel (Firmware) et s'assurer que tous les correctifs disponibles sont installés.
- Activer les mises à jour automatiques si elles sont désactivées, et s'assurer d'installer manuellement tout correctif qui n'aurait pas été appliqué automatiquement.
- Limiter l'accès aux interfaces de gestion des appareils aux seuls réseaux internes de confiance afin de réduire la surface d'attaque.
Il convient de noter que Mandiant, qui a contribué à la découverte de ces vulnérabilités, a indiqué que la vulnérabilité de contournement d'authentification dans l'ESG peut être exploitée sans avoir besoin d'identifiants, ce qui en fait une priorité absolue pour la correction.