Barracuda Networks har annonceret behovet for fysisk udskiftning af ESG-enheder (Email Security Gateway), der er blevet kompromitteret af malware som følge af en 0-dags sårbarhed i modulen til behandling af e-mailvedhæftninger. Det er blevet rapporteret, at tidligere udgivne patches ikke er tilstrækkelige til at blokere problemet. Der gives ikke detaljer, men det antages, at beslutningen om at udskifte udstyret er truffet på grund af et angreb, der har ført til installation af malware på lavt niveau, som ikke kan fjernes ved at opdatere firmware eller nulstille til fabriksindstillinger. Udstyret vil blive udskiftet gratis, men der gives ingen oplysninger om kompensation for transportomkostninger og udskiftningsarbejde.
ESG er et hardware-software system designet til at beskytte virksomheders e-mail mod angreb, spam og virus. Den 18. maj blev der registreret anomalt trafik fra ESG-enheder, som viste sig at være relateret til skadelig aktivitet. Undersøgelsen viste, at enhederne var blevet kompromitteret ved hjælp af en uoprettet (0-dags) sårbarhed (CVE-2023-28681), der tillader eksekvering af brugerdefineret kode gennem afsendelse af en specielt udformet e-mail. Problemet skyldtes manglende korrekt kontrol af filnavne inden for tar-arkiver, der blev sendt som e-mailvedhæftninger, og tillod udførelse af vilkårlige kommandoer i systemet med forhøjede privilegier ved at omgå escaping ved udførelse af kode gennem Perl-operatoren "qx".
Sårbarheden findes i selvstændigt leverede ESG-enheder (appliance) med firmware-versioner fra 5.1.3.001 til 9.2.0.006 inklusive. Faktiske udnyttelser af sårbarheden er blevet sporet siden oktober 2022, og indtil maj 2023 forblev problemet uhåndteret. Denne sårbarhed er blevet brugt af angribere til at installere flere typer malware - SALTWATER, SEASPY og SEASIDE - på gatewayen, som giver ekstern adgang til enheden (backdoor) og anvendes til at opsnappe fortrolige data.
Backdoor SALTWATER blev implementeret som en moduleret mod_udp.so til SMTP-processen bsmtpd og tillod indlæsning og eksekvering af vilkårlige filer i systemet, samt proxying af forespørgsler og tunneling af trafik til eksterne. serverFor at opnå kontrol i backdoor'en blev der anvendt interception af systemopkald som send, recv og close.
Den skadelige komponent SEASIDE blev skrevet i Lua og installeret som modulet mod_require_helo.lua til SMTP-serveren, og den havde til opgave at overvåge de indkommende HELO/EHLO-kommandoer og identificere anmodninger fra kontrolsystemet. server og bestemme parametre til opstart af en omvendt shell.
SEASPY var en eksekverbar fil kaldet BarracudaMailService, der blev installeret som en systemtjeneste. Tjenesten brugte en PCAP-baseret filter til at overvåge trafikken på netværksportene 25 (SMTP) og 587 og aktiverede en bagdør ved detektion af et paket med en specifik sekvens.
Den 20. maj udsendte Barracuda en opdatering med en fejlrettelse for sårbarheden, som blev distribueret til alle enheder den 21. maj. Den 8. juni blev det offentligtgjort, at opdateringerne ikke var tilstrækkelige, og brugerne måtte fysisk udskifte de kompromitterede enheder. Det anbefales også, at brugerne ændrer alle adgangsnøgler og legitimationsoplysninger, som har været i forbindelse med Barracuda ESG, såsom i tilknyttede LDAP/AD og Barracuda Cloud Control. Ifølge foreløbige data befinder der sig omkring 11.000 ESG-enheder i netværket, der bruger tjenesten Barracuda Networks Spam Firewall smtpd, som anvendes i Email Security Gateway.
Kilde: opennet.ru
