Komprimierung der Barracuda ESG-Gateways, die einen Austausch der Hardware erfordert

Die Firma Barracuda Networks hat die Notwendigkeit der physischen Ersetzung von ESG-Geräten (Email Security Gateway) angekündigt, die durch Malware infiziert sind, aufgrund einer 0-Day-Sicherheitsanfälligkeit im Modul zur Verarbeitung von E-Mail-Anhängen. Es wird berichtet, dass die Installation zuvor veröffentlichter Patches zur Behebung des Problems nicht ausreichte. Details werden nicht genannt, aber vermutlich wurde die Entscheidung zur Ersetzung der Hardware aufgrund eines Angriffs getroffen, der zur Installation von Malware auf niedrigster Ebene führte, und die Unmöglichkeit, diese durch Firmware-Aktualisierung oder Zurücksetzen auf die Werkseinstellungen zu entfernen. Die Geräte werden kostenlos ersetzt, ob eine Erstattung der Versandkosten und der Arbeitskosten für den Austausch erfolgt, bleibt unklar.

ESG ist ein hardware- und softwarebasierter Komplex zum Schutz der Unternehmens-E-Mails vor Angriffen, Spam und Viren. Am 18. Mai wurde ein anomaler Datenverkehr von ESG-Geräten registriert, der mit schädlicher Aktivität verbunden war. Die Analyse zeigte, dass die Geräte durch eine unbehobene (0-Day) Schwachstelle (CVE-2023-28681) kompromittiert wurden, die es ermöglichte, eigenen Code durch das Senden einer speziell gestalteten E-Mail auszuführen. Das Problem wurde durch das Fehlen einer ordnungsgemäßen Überprüfung von Dateinamen innerhalb von tar-Archiven, die in E-Mail-Anhängen übertragen wurden, verursacht und erlaubte die Ausführung willkürlicher Befehle im System mit erhöhten Rechten, indem die Escape-Zeichen bei der Ausführung von Code über den Perl-Befehl „qx“ umgangen wurden.

Die Schwachstelle ist in separat gelieferten ESG-Geräten (appliance) mit Firmware-Versionen von 5.1.3.001 bis einschließlich 9.2.0.006 vorhanden. Es gibt Hinweise darauf, dass die Schwachstelle seit Oktober 2022 ausgenutzt wird, und bis Mai 2023 blieb das Problem unentdeckt. Angreifer verwendeten die Schwachstelle, um auf den Gateways mehrere Arten von Malware – SALTWATER, SEASPY und SEASIDE – zu installieren, die externen Zugriff auf das Gerät (Backdoor) ermöglichen und zum Abfangen vertraulicher Daten eingesetzt werden.

Die Backdoor SALTWATER wurde als Modul mod_udp.so für den SMTP-Prozess bsmtpd konzipiert und ermöglichte das Hochladen und Ausführen beliebiger Dateien im System sowie das Proxying von Anfragen und das Tunnelieren von Datenverkehr nach außen. Server. Zur Kontrolle der Backdoor wurde die Abfangung der Systemaufrufe send, recv und close verwendet.

Die bösartige Komponente SEASIDE wurde in der Programmiersprache Lua geschrieben und als Modul mod_require_helo.lua für den SMTP-Server installiert. Sie war dafür verantwortlich, eingehende HELO/EHLO-Befehle zu überwachen und Anfragen vom Steuerungsserver zu identifizieren. Server und die Startparameter eines Reverse-Shell zu bestimmen.

SEASPY war eine ausführbare Datei des BarracudaMailService, die als Systemdienst installiert wurde. Der Dienst verwendete einen PCAP-basierten Filter, um den Verkehr an den Ports 25 (SMTP) und 587 zu überwachen, und aktivierte eine Hintertür beim Erkennen eines Pakets mit einer speziellen Sequenz.

Am 20. Mai veröffentlichte die Firma Barracuda ein Update zur Behebung einer Schwachstelle, das am 21. Mai an alle Geräte ausgeliefert wurde. Am 8. Juni wurde bekannt gegeben, dass das Update nicht ausreichend sei und die Benutzer die kompromittierten Geräte physisch ersetzen müssten. Den Benutzern wird außerdem empfohlen, alle Zugangsschlüssel und Anmeldedaten zu ändern, die mit Barracuda ESG in Kontakt kamen, z.B. in verbundenen LDAP/AD und Barracuda Cloud Control. Vorläufigen Informationen zufolge befinden sich etwa 11.000 ESG-Geräte im Netzwerk, die den Barracuda Networks Spam Firewall smtpd-Dienst nutzen, der im Email Security Gateway eingesetzt wird.

Quelle: opennet.ru