Detalhes das falhas de segurança
A Barracuda anunciou o lançamento de correções de software para resolver duas vulnerabilidades de segurança em seus dispositivos Email Security Gateway (ESG). Essas duas vulnerabilidades podem ser exploradas em sequência para obter acesso completo (Root) aos dispositivos afetados.
A primeira vulnerabilidade, identificada pelo código CVE-2026-116606, consiste em uma falha de desvio de autenticação e afeta exclusivamente os dispositivos ESG. Ela permite que um invasor não autenticado invoque a função de importação de configurações e restaure um arquivo de backup modificado, resultando em uma alteração não autorizada nas configurações globais do dispositivo. Esta vulnerabilidade recebeu uma pontuação de gravidade de 9.3 na escala CVSS.
A segunda vulnerabilidade, identificada pelo código CVE-2026-111560, é uma falha de injeção de comando localizada nas configurações de fuso horário. Ela afeta os dispositivos ESG e outros cinco produtos da Barracuda, incluindo balanceadores de carga (ADC) e firewalls de aplicativos web (WAF). Essa vulnerabilidade, que recebeu uma pontuação de 8.6, permite que usuários com privilégios de administrador executem comandos do sistema operacional com privilégios de root.
Por que esta notícia é importante?
O perigo reside na capacidade de combinar essas duas vulnerabilidades, dando aos invasores o poder de contornar os controles de autorização e obter controle total sobre o dispositivo. Como os dispositivos de segurança de e-mail funcionam como a primeira linha de defesa nas organizações, comprometê-los abre a porta para ameaças de segurança em grande escala, incluindo espionagem ou interceptação de comunicações confidenciais.
O que os usuários devem fazer?
A Barracuda recomenda que todos os clientes tomem as seguintes medidas imediatamente:
- Atualizar os dispositivos para a versão de firmware mais recente e garantir que todos os patches disponíveis estejam instalados.
- Ativar as atualizações automáticas caso estejam desativadas e verificar se algum patch não aplicado automaticamente foi instalado manualmente.
- Restringir o acesso às interfaces de gerenciamento de dispositivos apenas a redes internas confiáveis para reduzir a superfície de ataque.
Vale ressaltar que a Mandiant, que ajudou a descobrir essas vulnerabilidades, indicou que a falha de desvio de autenticação no ESG pode ser explorada sem a necessidade de credenciais, tornando-a uma prioridade máxima para correção.