Barracuda выпустила патчи для двух уязвимостей в своих продуктах. Помимо шлюза электронной почты Email Security Gateway исправления получили ещё пять семейств продуктов. Первая уязвимость позволяет обойти контроль авторизации и подменить глобальную конфигурацию устройства. Через вторую атакующий выполняет команды операционной системы с правами суперпользователя, то есть root. Вместе они открывают путь от изменения настроек до полного контроля над шлюзом, через который проходит почта организации.
CVE-2026-116606 и CVE-2026-111560: суть двух уязвимостей
Вендор опубликовал уведомление 2 ноября: обход авторизации получил идентификатор CVE-2026-116606 и оценку 9,3 по шкале CVSS, шкале оценки опасности уязвимостей. Внедрению команд присвоили CVE-2026-111560 и 8,6 балла. Для обхода авторизации атака идёт по сети, учётные данные не нужны, участие пользователя тоже не требуется. Внедрение команд, наоборот, предполагает высокие привилегии на устройстве. Сведений о применении обеих проблем в реальных атаках нет, хотя CISA считает обход авторизации пригодным для автоматизации.
Что это значит для организации, зависит от того, где стоит шлюз. Почтовый шлюз работает на границе и видит входящую и исходящую переписку. Права root на таком устройстве дают контроль над потоком корреспонденции и точку опоры внутри сети. После подмены конфигурации устройство ведёт себя иначе для всех пользователей сразу. Доступ к интерфейсу управления из интернета резко повышает шансы собрать цепочку целиком, а закрытая панель оставляет атакующему мало вариантов.
Для Barracuda это не первый случай: отдельная уязвимость нулевого дня в ESG, связанная с группировкой UNC4841, работала до выхода патча. В 2023 году в том же продукте обнаружили CVE-2023-2868, внедрение команд через специально собранный архив. Патч BNSF-36456 тогда применили автоматически на всех клиентских устройствах. Эта уязвимость входит в перечень известных эксплуатируемых уязвимостей CISA, и агентство подтверждает её применение в атаках. Нынешние проблемы с той историей напрямую не связаны.
Обход авторизации не требует учётных данных: атакующий обращается к интерфейсу управления и вызывает функцию импорта конфигурации. Устройство восстанавливает заранее собранный архив резервной копии и меняет глобальные настройки без ведома администратора. Дальше срабатывает вторая уязвимость: поле часового пояса не очищает служебные символы оболочки, и подставленное значение выполняет команду системы с правами root. Сама по себе вторая уязвимость требует прав администратора, и именно связка снимает это ограничение.
В ESG обход авторизации закрывает версия 9.4.0.030, более ранние сборки остаются уязвимыми. Патчи различаются: BNSF-40425 ставится на версии 9.4.017 и новее, BNSF-40430 - на более старые. В остальных продуктах есть только внедрение команд, полного пути до root там нет. Это BNADC-16586 для балансировщика Load Balancer ADC и межсетевого экрана WAF, BNMA-32468 для Message Archiver. Для WAF Control Center вендор выпустил BNWF-60060, для Web Security Gateway - BNYF-24789.
При отключённом автообновлении патч ставят вручную и сразу, инструкции вендор публикует в базе знаний Barracuda Campus. Проверять нужно и версию прошивки, и статус установки патчей: одна лишь новая прошивка полного исправления не гарантирует. Устройства с сильно устаревшей прошивкой потребуют нескольких обновлений подряд, при необходимости с помощью поддержки вендора. Интерфейс управления закрывают от интернета и открывают только для доверенных внутренних сетей. Свидетельств компрометации из-за новых уязвимостей нет, но проверить нужно каждое устройство из инвентаря.
В большом парке устройств есть смысл выбрать порядок работ. Сначала закрывают доступ к панели управления из интернета. Потом ставят патчи там, где панель была открыта, и только затем переходят к остальным устройствам.
Ссылки
