Подробности уязвимостей
Компания Barracuda объявила о выпуске программных исправлений для устранения двух уязвимостей безопасности в шлюзах безопасности электронной почты (Email Security Gateway — ESG), которые могут быть использованы последовательно для получения полного доступа (Root) к затронутым устройствам.
Первая уязвимость под кодом CVE-2026-116606 заключается в обходе механизма аутентификации и затрагивает исключительно устройства ESG. Она позволяет неавторизованному злоумышленнику вызывать функцию импорта настроек и восстанавливать измененный архив резервной копии, что приводит к несанкционированному изменению глобальных настроек устройства. Эта уязвимость получила оценку серьезности 9,3 по шкале CVSS.
Вторая уязвимость под кодом CVE-2026-111560 представляет собой уязвимость внедрения команд (Command Injection) в настройках часового пояса. Она затрагивает устройства ESG, а также пять других продуктов Barracuda, включая балансировщики нагрузки (ADC) и межсетевые экраны веб-приложений (WAF). Эта уязвимость, получившая оценку 8,6, позволяет пользователям с правами администратора выполнять команды операционной системы с правами суперпользователя (root).
Почему это важно?
Опасность заключается в возможности объединения этих двух уязвимостей, что дает злоумышленникам возможность обходить механизмы авторизации и получать полный контроль над устройством. Поскольку устройства безопасности электронной почты служат первой линией обороны в организациях, их компрометация открывает путь для широкомасштабных угроз безопасности, включая шпионаж или перехват конфиденциальной переписки.
Что должны сделать пользователи?
Barracuda рекомендует всем клиентам немедленно предпринять следующие шаги:
- Обновите устройства до последней версии прошивки (Firmware) и убедитесь, что все доступные исправления установлены.
- Включите автоматические обновления, если они отключены, и вручную установите любые исправления, которые не были применены автоматически.
- Ограничьте доступ к интерфейсам управления устройствами только доверенными внутренними сетями, чтобы минимизировать поверхность атаки.
Стоит отметить, что компания Mandiant, принявшая участие в обнаружении этих уязвимостей, указала на то, что уязвимость обхода аутентификации в ESG может быть использована без необходимости в учетных данных, что делает ее приоритетной задачей для исправления.