Angreifer nutzen Barracuda-ESG-Schwachstellen für Root-Zugriff
Barracuda Networks warnt seit Montagabend vor Angriffen auf zwei Schwachstellen in seinen Email Security Gateways (ESG). Nach Angaben des Unternehmens betreffen die Angriffe eine begrenzte Zahl von Kunden. Werden beide Lücken zusammen ausgenutzt, können Angreifer die Autorisierung umgehen und Root-Zugriff auf das Gerät erhalten, schrieb Barracuda in einer aktualisierten Sicherheitswarnung.
Die Schwachstellen tragen die Kennungen CVE-2026-116606 und CVE-2026-111560. Barracuda veröffentlichte die Sicherheitsupdates vor einer Woche. Die erste Lücke beruht laut dem Unternehmen auf einer Schwäche bei der Authentifizierung. Sie kann dazu führen, dass ein Angreifer die globale Konfiguration eines ESG-Geräts verändert. Die zweite Lücke erlaubt nicht authentifizierten Angreifern, Betriebssystembefehle einzuschleusen, die anschließend mit Root-Rechten ausgeführt werden.
Für eine erfolgreiche Ausnutzung muss der Angreifer laut Barracuda Zugriff auf die administrative Benutzeroberfläche des betroffenen Geräts haben. Die Schwachstellen sind damit nicht allein durch das Vorhandensein eines erreichbaren ESG ausnutzbar; die Administrationsoberfläche muss ebenfalls zugänglich sein. Barracuda empfiehlt, diesen Zugriff auf vertrauenswürdige interne Netzwerke zu beschränken und geeignete Netzwerkzugriffskontrollen einzusetzen.
Kunden, bei denen der Patch nicht automatisch eingespielt wurde, sollen laut Barracuda das passende Update so bald wie möglich manuell installieren. Wer die automatische Aktualisierung abgeschaltet hat, soll sie wieder aktivieren. Das Unternehmen erklärte, es habe unmittelbar einen umfassenden Prozess zur Behebung eingeleitet und Ausnutzungsaktivitäten bei einer kleinen Zahl von Organisationen festgestellt.
Barracuda war bereits zuvor Ziel von Angriffen auf ESG-Geräte. Vor drei Jahren behob das Unternehmen die Schwachstelle CVE-2023-7102, die die Hackergruppe UNC4841 in Zero-Day-Angriffen zur Ausführung beliebigen Codes ausnutzte, schrieb BleepingComputer. Im selben Jahr missbrauchte UNC4841 laut dem Bericht eine weitere Zero-Day-Lücke, CVE-2023-2868, für Cyber-Spionage. Barracuda teilte später mit, dass diese Schwachstelle mindestens sieben Monate lang, seit mindestens Oktober 2022, ausgenutzt worden war. Angreifer setzten dabei die zuvor unbekannte Schadsoftware SeaSpy und Saltwater ein und stahlen Daten von kompromittierten Geräten. Nach Angaben des Sicherheitsunternehmens Mandiant gehörte damals fast ein Drittel der betroffenen Systeme Regierungsbehörden; die meisten dieser Systeme wurden zwischen Oktober und Dezember 2022 kompromittiert.