보안 취약점 상세 정보
Barracuda는 이메일 보안 게이트웨이(Email Security Gateway - ESG) 장비에서 발견된 두 가지 보안 취약점을 해결하기 위한 소프트웨어 패치 출시를 발표했습니다. 이 두 취약점은 순차적으로 악용되어 영향을 받는 장비에 대한 전체 액세스 권한(Root)을 획득하는 데 사용될 수 있습니다.
첫 번째 취약점인 CVE-2026-116606은 인증 메커니즘 우회와 관련이 있으며 ESG 장비에만 영향을 미칩니다. 이 취약점을 통해 인증되지 않은 공격자가 설정 가져오기 기능을 호출하고 수정된 백업 아카이브를 복원할 수 있어, 장비의 글로벌 설정에 대한 무단 수정이 가능해집니다. 이 취약점은 CVSS 기준으로 9.3의 위험도 점수를 받았습니다.
두 번째 취약점인 CVE-2026-111560은 시간대(Time Zone) 설정에서 발생하는 명령 주입(Command Injection) 취약점으로, ESG 장비뿐만 아니라 애플리케이션 딜리버리 컨트롤러(ADC) 및 웹 애플리케이션 방화벽(WAF)을 포함한 Barracuda의 다른 5개 제품에도 영향을 미칩니다. 8.6의 점수를 받은 이 취약점은 관리자 권한을 가진 사용자가 루트 권한으로 운영 체제 명령을 실행할 수 있게 합니다.
이 뉴스가 중요한 이유
위험성은 이 두 취약점을 결합할 수 있다는 점에 있으며, 이를 통해 공격자는 권한 제어를 우회하고 장비에 대한 완전한 제어 능력을 갖출 수 있습니다. 이메일 보안 장비는 조직의 첫 번째 방어선 역할을 하기 때문에, 이 장비가 침해되면 스파이 활동이나 민감한 통신 가로채기를 포함한 광범위한 보안 위협의 문이 열리게 됩니다.
사용자가 해야 할 일
Barracuda는 모든 고객에게 즉시 다음 단계를 수행할 것을 권장합니다:
- 장비를 최신 펌웨어(Firmware) 버전으로 업데이트하고 사용 가능한 모든 패치가 설치되었는지 확인하십시오.
- 자동 업데이트가 비활성화되어 있는 경우 이를 활성화하고, 자동으로 적용되지 않은 패치는 수동으로 설치하십시오.
- 공격 표면을 줄이기 위해 장치 관리 인터페이스에 대한 액세스를 신뢰할 수 있는 내부 네트워크로만 제한하십시오.
이러한 취약점 발견에 기여한 Mandiant는 ESG의 인증 우회 취약점이 자격 증명 없이도 악용될 수 있다고 지적했으며, 이는 해당 취약점이 패치의 최우선 순위임을 의미합니다.