CVE-2023-2868

Une vulnérabilité d'injection de commandes à distance existe dans le produit Barracuda Email Security Gateway (uniquement en version appliance matérielle), affectant les versions 5.1.3.001 à 9.2.0.006. La vulnérabilité découle d'un échec à assainir de manière exhaustive le traitement des fichiers .tar (tape archives). Elle provient d'une validation incomplète des entrées d'un fichier .tar fourni par l'utilisateur, en ce qui concerne les noms des fichiers contenus dans l'archive. En conséquence, un attaquant distant peut formater ces noms de fichiers d'une manière particulière qui entraîne l'exécution à distance d'une commande système via l'opérateur qx de Perl, avec les privilèges du produit Email Security Gateway. Ce problème a été corrigé dans le cadre du correctif BNSF-36456. Ce correctif a été appliqué automatiquement à toutes les appliances des clients.