Dos fallos en Barracuda Email Security Gateway, un dispositivo de filtrado de correo, pueden encadenarse para ejecutar comandos en él como root, el nivel de acceso más alto, sin necesidad de iniciar sesión. La empresa publicó parches el lunes y la firma de seguridad watchTowr detalló la cadena de ataque el jueves.
Uno de los fallos, CVE-2026-116606, es un bypass de autorización. Un atacante no autenticado puede usarlo para restaurar una copia de seguridad de configuración manipulada y cambiar la configuración global del dispositivo. El otro, CVE-2026-111560, es una inyección de comandos que ejecuta comandos como root, pero normalmente requiere una cuenta de administrador; en el Email Security Gateway, el bypass proporciona ese acceso al atacante. Encadenados, ambos permiten alcanzar root sin iniciar sesión.
Productos afectados y soluciones
El bypass de autorización afecta únicamente al Email Security Gateway. La inyección de comandos alcanza a otros cinco productos, pero en ellos sigue siendo necesario una cuenta de administrador. Mandiant, que asignó los dos registros CVE, califica el bypass con 9,3 sobre 10 y la inyección de comandos con 8,6. Barracuda ha publicado un parche para cada producto afectado y enumera el firmware corregido en su aviso de seguridad. El Email Security Gateway se corrige en la versión 9.4.0.030 y posteriores.
Qué hacer
El aviso establece tres pasos:
- Aplicar el parche para cada producto afectado o actualizar al firmware corregido indicado anteriormente.
- Si no se puede parchear de inmediato, limitar la interfaz de administración del dispositivo a redes internas de confianza.
- Si se ha desactivado la aplicación automática de parches, volver a activarla.
Cómo funciona la cadena
En su análisis técnico, watchTowr siguió la cadena a través del código del dispositivo. Un cambio de contraseña fallido devuelve al atacante un rol de bajos privilegios en lugar de detener la solicitud, lo que deja abierta una función de restauración de copias de seguridad para alguien que no ha iniciado sesión. Esa función acepta una copia de seguridad cargada, y los datos restaurados incluyen un valor de zona horaria que el dispositivo ejecuta posteriormente como un comando de shell con privilegios de root. Barracuda protege las copias de seguridad con una suma de verificación, pero el secreto utilizado para calcularla está integrado en el código, lo que permite a un atacante falsificar una suma válida. La firma demostró el ataque escribiendo un archivo en el dispositivo como root.
A la fecha de esta semana, ninguno de los dos fallos aparece en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, y ningún informe público vincula ninguno de los dos a un ataque. watchTowr también publicó una herramienta de detección que comprueba si un dispositivo es vulnerable, pero no ha divulgado un exploit.
El Email Security Gateway fue atacado en 2023 por un grupo conocido como UNC4841, que explotó un fallo diferente, CVE-2023-2868, como zero-day. Ese caso no está relacionado con los dos fallos parcheados esta semana, y nada vincula el nuevo par con ningún atacante.
Deja una respuesta