La firma de ciberseguridad Barracuda ha publicado los pormenores de dos fallos de seguridad que inciden en varios de sus productos y que, al ser explotados de manera conjunta, podrían facilitar que un atacante evada los mecanismos de autorización y logre acceso con privilegios de root en un dispositivo vulnerable.
Se trata de una vulnerabilidad de omisión de autorización antes de la autenticación y de otra de inyección de comandos, identificadas respectivamente como CVE-2026-116606, con una puntuación CVSS de 9,3, y CVE-2026-111560, con 8,6.
Mientras que CVE-2026-116606 solo afecta a Email Security Gateway, CVE-2026-111560 incide en los siguientes productos de Barracuda:
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Según Barracuda, para explotar con éxito estos fallos el atacante necesita tener acceso a la interfaz de administración de un producto afectado. La compañía advierte de que, si se combinan ambas vulnerabilidades, un atacante podría sortear los controles de autorización y obtener acceso root al dispositivo.
La empresa señala que las organizaciones que no exponen sus interfaces de administración a internet presentan un menor riesgo frente a esta ruta de ataque, y recomienda a los clientes adoptar las siguientes medidas:
- Limitar el acceso a las interfaces de administración a redes internas de confianza
- Aplicar controles de acceso de red adecuados para reducir la exposición
Barracuda añade que los clientes que utilicen estos productos deben comprobar que sus sistemas ejecutan las versiones de firmware más recientes y que han recibido todos los parches de seguridad. Asimismo, advierte de que, si el firmware de un dispositivo está varias versiones desactualizado, puede ser necesario realizar más de una actualización.
Deja una respuesta