Barracuda ESG värava kompromiteerimine, nõudes seadmete asendamist

Barracuda Networks teatas vajadusest füüsiliselt asendada ESG (Email Security Gateway) seadmed, mis on saanud kahju pahavarast 0-day nõrkuse tõttu e-kirjade manuste töötlemise moodulis. Teavet selle kohta, et varem välja antud plaastrite paigaldamine ei piisa probleemide lahendamiseks, jagatakse. Üksikasju ei avalikustata, kuid eeldatakse, et seadmete asendamise otsus tehti rünnaku tõttu, mis viis madala tasandi pahavara paigaldamiseni ning mille eemaldamine ei olnud võimalik, kasutades ainult uue tarkvara installimist või seadme tehase seadete taastamist. Seadmed asendatakse tasuta, kuid enne kulude katmise kohta ei ole täpsustatud.

ESG on riist- ja tarkvarakompleks, mis kaitseb ettevõtete e-kirju rünnakute, rämpsposti ja viiruste eest. 18. mail täheldati ESG seadmetest anomaalset liiklust, mis oli seotud pahavara tegevusega. Analüüs näitas, et seadmed olid kompromiteeritud, kasutades patcherdamata (0-day) nõrkust (CVE-2023-28681), mis võimaldas oma koodi käivitada, saates spetsiaalselt vormindatud e-kirja. Probleem tulenes failide nimede puudulikust kontrollimisest tar-arhiivides, mida edastati e-kirja manustena, ning võimaldas süsteemis täita suvalisi käske kõrgete privileegidega, möödudes koodi käivitamisel päringute „qx“ ekraanivältimisest.

Nõrkus esineb eraldi tarnitavates ESG seadmetes (appliance), mille tarkvara versioonid on vahemikus 5.1.3.001 kuni 9.2.0.006. Nõrkuse ärakasutamise faktid on jälgitavad alates oktoobrist 2022 ja kuni mai 2023 oli probleem varjatud. Ründajad kasutasid nõrkust, et seadmetes installida mitut tüüpi pahavara — SALTWATER, SEASPY ja SEASIDE, mis võimaldasid seadmele (tagauks) välist juurdepääsu ja millega võidi hankida konfidentsiaalseid andmeid.

SALTWATER tagauks oli vormistatud mod_udp.so moodulina SMTP-protsessile bsmtpd, võimaldades süsteemis laadida ja käivitada suvalisi faile, samuti edastada päringuid ja tunnelda liiklust välisele. server. Tagaukse juhtimiseks kasutati süsteemikutsungite send, recv ja close pealtkuulamist.

Kahjustav komponent SEASIDE kirjutati keeles Lua, see installeeriti moodulina mod_require_helo.lua SMTP serverile ja jälgis sissetulevaid HELO/EHLO käske, tuvastades juhtimisküsimised. serverilt ja määrates tagasivaatava shelli käivitamise parameetreid.

SEASPY oli käivitatav fail BarracudaMailService, mis installeeriti süsteemiteenuseks. Teenus kasutas PCAP-põhist filtrit liikluse jälgimiseks 25 (SMTP) ja 587 võrguportidel ning aktiveeris tagaukse, kui tuvastati pakett erilise järjestusega.

20. mail avaldas Barracuda turvapaelu, mis 21. mail toimetati kõikidele seadmetele. 8. juunil kuulutati, et uuendused ei ole piisavad ning kasutajad peavad füüsiliselt vahetama kompromiteeritud seadmeid. Kasutajatele soovitatakse samuti vahetada kõik juurdepääsuvõtmed ja autentimismeetodid, mis olid seotud Barracuda ESG-ga, näiteks seotud LDAP/AD ja Barracuda Cloud Controliga. Eelkontrollide kohaselt on võrgus umbes 11 000 seadmeid ESG, mis kasutavad Barracuda Networks Spam Firewall smtpd teenust, mida rakendatakse Email Security Gateway's.

Allikas: opennet.ru