Zwei Schwachstellen im Email Security Gateway von Barracuda lassen sich kombinieren, um Befehle ohne Anmeldung auszuführen. So erlangt ein Angreifer Root-Zugriff, die höchste Kontrollstufe des Geräts. The Hacker News berichtete, dass Barracuda am Montag Patches veröffentlicht hat. Die Sicherheitsfirma watchTowr beschrieb die Angriffskette am Donnerstag im Detail.
Organisationen, die die E-Mail-Filter-Appliance betreiben, sollten ihren Patchstatus prüfen: Ab Email Security Gateway Version 9.4.0.030 sind die Korrekturen enthalten. Eine der Schwachstellen betrifft außerdem fünf weitere Barracuda-Produkte. Die Ausnutzung auf diesen Produkten setzt jedoch weiterhin ein Administratorkonto voraus.
Wie die beiden Schwachstellen zusammenwirken
CVE-2026-116606 ist eine Umgehung der Autorisierung, also eine fehlende Durchsetzung von Zugriffsbeschränkungen. Sie betrifft nur das Email Security Gateway und erlaubt einem nicht authentifizierten Angreifer, ein speziell präpariertes Konfigurationsbackup wiederherzustellen und so die globalen Einstellungen des Geräts zu ändern.
Die zweite Schwachstelle, CVE-2026-111560, ist eine Command Injection: Daten, die dem Gerät übergeben werden, können zu Betriebssystembefehlen werden. Sie führt diese Befehle als Root aus, erfordert dafür aber normalerweise Administratorzugriff. Auf dem Email Security Gateway liefert die Umgehung der Autorisierung den nötigen Zugriff, um sie ohne Anmeldung auszunutzen.
Mandiant, das die beiden CVE-Kennungen vergeben hat, stuft die Umgehung mit 9,3 von 10 ein und die Command Injection mit 8,6.
In seiner technischen Analyse führte watchTowr die Umgehung auf eine fehlgeschlagene Anfrage zur Passwortänderung zurück. Statt die Anfrage zu stoppen, gibt der Code eine Rolle mit geringen Rechten zurück. Dadurch bleibt eine Funktion zur Wiederherstellung von Backups für jemanden erreichbar, der sich nicht authentifiziert hat.
Das hochgeladene Backup kann einen Zeitzonenwert enthalten, den das Gerät später als Shell-Befehl mit Root-Rechten ausführt. Backups besitzen eine Prüfsumme, also einen Wert zur Überprüfung ihrer Integrität. Das Geheimnis zu deren Berechnung ist jedoch im Code eingebettet. Dadurch kann ein Angreifer eine gültige Prüfsumme für ein bösartiges Backup fälschen. watchTowr demonstrierte die Angriffskette, indem es als Root eine Datei auf das Gerät schrieb.
Die Forscher haben außerdem ein Tool veröffentlicht, mit dem sich prüfen lässt, ob ein Gerät verwundbar ist. Einen Exploit haben sie jedoch nicht veröffentlicht. The Hacker News berichtete von keinen öffentlichen Angriffen, die mit einer der beiden Schwachstellen in Verbindung stehen. Laut dem Bericht tauchte keine der beiden in dieser Woche im Katalog der Known Exploited Vulnerabilities der CISA auf.
Das Email Security Gateway war bereits 2023 Ziel von UNC4841, die über eine andere Schwachstelle, CVE-2023-2868, angriff, bevor eine Korrektur verfügbar war. Der CISA-Katalog führt diese ältere Schwachstelle auf. Diese Angriffe stehen in keinem Zusammenhang mit dem neu bekannt gewordenen Paar.
Was Administratoren tun sollten
Laut The Hacker News hat Barracuda Patches für alle betroffenen Produkte veröffentlicht. Die jeweils korrigierte Firmware ist im Sicherheitshinweis aufgeführt. Administratoren sollten den passenden Patch einspielen oder auf die korrigierte Firmware aktualisieren. Für das Email Security Gateway ist das Version 9.4.0.030 oder neuer.
Der Sicherheitshinweis von Barracuda empfiehlt außerdem, die Verwaltungsoberfläche auf vertrauenswürdige interne Netze zu beschränken, falls sofortiges Patchen nicht möglich ist. Administratoren, die das automatische Patchen deaktiviert haben, sollten es wieder aktivieren.
