Deux failles de la Email Security Gateway de Barracuda peuvent être combinées pour exécuter des commandes sans authentification, ce qui permet à un attaquant d'obtenir un accès root, le niveau de contrôle le plus élevé de l'appliance. The Hacker News a rapporté que Barracuda a publié des correctifs lundi, et la société de sécurité watchTowr a détaillé la chaîne d'attaque jeudi.
Les organisations qui utilisent cette appliance de filtrage des e-mails doivent vérifier leur état de correctifs : la version 9.4.0.030 et les versions ultérieures d'Email Security Gateway contiennent les correctifs. L'une des failles touche aussi cinq autres produits Barracuda, mais son exploitation sur ces produits exige toujours un compte administrateur.
Comment les deux failles se combinent
CVE-2026-116606 est un contournement d'autorisation, c'est-à-dire une défaillance dans l'application des restrictions d'accès. Elle ne touche que Email Security Gateway et permet à un attaquant non authentifié de restaurer une sauvegarde de configuration spécialement conçue, modifiant ainsi les paramètres globaux de l'appliance.
La seconde faille, CVE-2026-111560, est une injection de commandes : des données fournies à l'appliance peuvent devenir des commandes du système d'exploitation. Elle exécute ces commandes en tant que root, mais exige normalement un accès administrateur. Sur Email Security Gateway, le contournement d'autorisation fournit l'accès nécessaire pour l'exploiter sans authentification.
Mandiant, qui a attribué les deux identifiants CVE, évalue le contournement à 9,3 sur 10 et l'injection de commandes à 8,6.
Dans son analyse technique, watchTowr attribue le contournement à une demande de changement de mot de passe échouée. Au lieu d'interrompre la requête, le code renvoie un rôle à faibles privilèges, ce qui rend accessible à une personne non authentifiée une fonction de restauration de sauvegarde.
La sauvegarde téléversée peut contenir une valeur de fuseau horaire que l'appliance exécute ensuite comme commande shell avec les privilèges root. Les sauvegardes disposent d'une somme de contrôle, une valeur servant à vérifier leur intégrité, mais le secret utilisé pour la calculer est intégré au code. Cela permet à un attaquant de forger une somme de contrôle valide pour une sauvegarde malveillante. watchTowr a démontré la chaîne en écrivant un fichier sur l'appliance en tant que root.
Les chercheurs ont aussi publié un outil permettant de vérifier si une appliance est vulnérable, mais n'ont pas publié d'exploit. The Hacker News n'a signalé aucune attaque publique liée à l'une ou l'autre faille et a indiqué qu'aucune des deux ne figurait dans le catalogue Known Exploited Vulnerabilities de la CISA cette semaine-là.
Email Security Gateway avait déjà été ciblé par UNC4841 en 2023 via une autre vulnérabilité, CVE-2023-2868, avant qu'un correctif ne soit disponible. Le catalogue de la CISA recense cette ancienne faille ; ces attaques n'ont aucun lien avec la paire nouvellement divulguée.
Ce que les administrateurs doivent faire
The Hacker News indique que Barracuda a publié des correctifs pour chaque produit concerné, les versions de firmware corrigées propres à chaque produit figurant dans son avis de sécurité. Les administrateurs doivent appliquer le correctif ou la mise à niveau pertinent vers le firmware corrigé ; pour Email Security Gateway, il s'agit de la version 9.4.0.030 ou ultérieure.
L'avis de Barracuda recommande aussi de restreindre l'interface d'administration aux réseaux internes de confiance si un correctif immédiat n'est pas possible. Les administrateurs ayant désactivé les correctifs automatiques doivent les réactiver.
