CVE-2023-2868

Eine Command-Injection-Schwachstelle existiert in dem Produkt Barracuda Email Security Gateway (nur Appliance-Ausführung), das die Versionen 5.1.3.001 bis 9.2.0.006 betrifft. Die Schwachstelle beruht auf einer unzureichenden Bereinigung bei der Verarbeitung von .tar-Dateien (Tape Archives). Sie entsteht durch eine unvollständige Eingabevalidierung einer vom Benutzer bereitgestellten .tar-Datei, soweit es die Namen der im Archiv enthaltenen Dateien betrifft. Infolgedessen kann ein entfernter Angreifer diese Dateinamen gezielt in einer bestimmten Form gestalten, wodurch über den Perl-Operator qx ein Systembefehl entfernt ausgeführt wird, mit den Berechtigungen des Email Security Gateway-Produkts. Das Problem wurde mit dem Patch BNSF-36456 behoben. Dieser Patch wurde automatisch auf alle Kunden-Appliances angewendet.