Společnost Barracuda Networks oznámila nutnost fyzické výměny zařízení ESG (Email Security Gateway), která byla napadena malwarem v důsledku 0-day zranitelnosti v modulu pro zpracování e-mailových příloh. Bylo uvedeno, že instalace dříve vydaných oprav je na blokování problému nedostatečná. Podrobnosti nejsou zpřístupněny, ale předpokládá se, že rozhodnutí o výměně vybavení bylo učiněno kvůli útoku, který vedl k instalaci malwaru na nízké úrovni, a nemožnosti jej odstranit prostřednictvím výměny firmwaru nebo resetováním do továrního nastavení. Zařízení bude vyměněno zdarma, o náhradě nákladů na dopravu a práci při výměně není specifikováno.
ESG představuje hardware a software pro ochranu e-mailů podniků před útoky, spamem a viry. Dne 18. května byl zaznamenán abnormální provoz z zařízení ESG, který byl spojen s malwarovou aktivitou. Analýza ukázala, že zařízení byla kompromitována pomocí neopravitelné (0-day) zranitelnosti (CVE-2023-28681), která umožňuje vykonávat vlastní kód prostřednictvím zaslání speciálně formátovaného e-mailu. Problém byl způsoben nedostatečnou kontrolou názvů souborů uvnitř tar archívů přenášených v e-mailové příloze, a umožnil vykonávání libovolného příkazu v systému s privilegovanými právy, obcházející escapování při vykonávání kódu pomocí Perl operátoru "qx ".
Zranitelnost se nachází v samostatně dodávaných zařízeních ESG (appliance) s firmwary verzí od 5.1.3.001 do 9.2.0.006 včetně. Skutečnosti o zneužívání zranitelnosti se sledují už od října 2022 a až do května 2023 zůstával problém nepovšimnut. Zranitelnost byla zneužívána útočníky k instalaci několika typů malwaru na bránách — SALTWATER, SEASPY a SEASIDE, které poskytují externí přístup k zařízení (backdoor) a používají se pro odchyt citlivých údajů.
Backdoor SALTWATER byl realizován jako modul mod_udp.so pro SMTP proces bsmtpd a umožnil nahrávat a spouštět v systému libovolné soubory, stejně jako proxy požadavky a tunelovat provoz na externí. serverPro získání kontroly v backdooru byl použit odchyt systémových volání send, recv a close.
Malware component SEASIDE was written in Lua and was installed as a module mod_require_helo.lua for the SMTP server, where it monitored incoming HELO/EHLO commands and identified requests from the control. serveru and determined the launch parameters of the reverse shell.
SEASPY was an executable file BarracudaMailService, installed as a system service. The service used a PCAP-based filter to monitor traffic on ports 25 (SMTP) and 587, activating a backdoor upon detection of a packet with a specific sequence.
On May 20, Barracuda released an update to fix the vulnerability, which was delivered to all devices on May 21. On June 8, it was announced that the updates were insufficient and users needed to physically replace compromised devices. Users were also advised to change all access keys and credentials that intersected with Barracuda ESG, such as those in linked LDAP/AD and Barracuda Cloud Control. Preliminary data suggests there are about 11 thousand ESG devices using the Barracuda Networks Spam Firewall smtpd service, which is used in the Email Security Gateway.
Zdroj: opennet.ru
