Компания Barracuda Networks обяви необходимостта от физическа смяна на устройствата ESG (Email Security Gateway), засегнати от зловреден софтуер в резултат на 0-day уязвимост в модула за обработка на прикачени файлове. Съобщава се, че инсталирането на предишно издадени пачове не е достатъчно, за да се блокира проблема. Подробности не се предоставят, но предполагам, че решението за смяната на оборудването е взето поради атака, довела до инсталирането на зловреден софтуер на ниско ниво, и невъзможността му да бъде премахнато чрез замяна на фърмуера или възстановяване до фабрични настройки. Оборудването ще бъде заменено безплатно, относно компенсацията на разходите за доставка и работа по смяната не се уточнява.
ESG е хардуерно-програмна система за защита на корпоративната електронна поща от атаки, спам и вируси. На 18 май беше регистриран аномален трафик от устройства ESG, който се оказа свързан със зловредна дейност. Проучването показа, че устройствата са били компрометирани, използвайки некоригирана (0-day) уязвимост (CVE-2023-28681), която позволява изпълнение на собствен код чрез изпращане на специално форматирано електронно писмо. Проблемът е причинен от отсъствието на съответна проверка на имената на файловете в tar архивите, предавани в пощенското приложение, и позволява изпълнението на произволна команда в системата с повишени привилегии, заобикаляйки екранирането при изпълнение на код чрез Perl оператора „qx“.
Уязвимостта присъства в отделно доставяните устройства ESG (appliance) с фърмуери от версии 5.1.3.001 до 9.2.0.006 включително. Фактите за експлоатация на уязвимостта се проследяват още от октомври 2022 година и до май 2023 проблема остава незабелязано. Уязвимостта е била използвана от нападателите за инсталиране на няколко вида зловреден софтуер на шлюзовете — SALTWATER, SEASPY и SEASIDE, предоставящи външен достъп до устройството (бекдор) и използвани за прихващане на конфиденциални данни.
Бекдорът SALTWATER е оформен като модул mod_udp.so към SMTP процеса bsmtpd и позволява да се зареждат и изпълняват произволни файлове в системата, както и да се проксират заявки и тунелира трафик към външен. сървър. За получаване на контрол в бекдора е използвано прихващането на системни повиквания send, recv и close.
Зловредният компонент SEASIDE е написан на езика Lua и се инсталира като модул mod_require_helo.lua за SMTP-сървъри, занимаващ се с проследяване на входящите команди HELO/EHLO, разпознаване на заявки от управляващия сървър и определяне на параметрите за стартиране на обратен shell.
SEASPY представляваше изпълним файл BarracudaMailService, инсталиран като системна услуга. Услугата използваше филтър на базата на PCAP за проследяване на трафик на 25 (SMTP) и 587 мрежови портове и активираше бекдор при откриване на пакет със специална последователност.
На 20 май компания Barracuda пусна обновление с корекция на уязвимостта, което на 21 май беше доставено на всички устройства. На 8 юни беше обявено, че обновленията не са достатъчни и на потребителите е необходимо физическото замяна на компрометираните устройства. Също така се препоръчва на потребителите да заменят всички ключове за достъп и удостоверителни данни, които са се пресекли с Barracuda ESG, например, в свързаните LDAP/AD и Barracuda Cloud Control. По предварителни данни в мрежата се намират около 11 хиляди устройства ESG, използващи услугата Barracuda Networks Spam Firewall smtpd, която се прилага в Email Security Gateway.
Източник: opennet.ru
