A Barracuda Networks bejelentette, hogy szükség van az ESG (Email Security Gateway) eszközök fizikai cseréjére, amelyek rosszindulatú szoftvereknek voltak kitéve a 0-napos sebezhetőség következtében, amely az e-mail mellékletek feldolgozó modulja miatt alakult ki. A hírek szerint a korábban kiadott javítások telepítése nem elegendő a probléma blokkolásához. További részletek nem kerültek nyilvánosságra, de feltételezhetően a hardver cseréjéről hozott döntést egy támadás miatt hozták, amely alacsony szintű rosszindulatú szoftver telepítését eredményezte, és amelyet nem lehetett eltávolítani firmware frissítéssel vagy gyári beállítások visszaállításával. Az eszközök ingyenesen cserélve lesznek, a szállítási és csere költségeinek megtérítése nem került említésre.
Az ESG egy hardver- és szoftverkomplexum a vállalatok e-mailjeinek védelmére a támadások, spam és vírusok ellen. Május 18-án anomális forgalmat tapasztaltak az ESG eszközökről, amelyet rosszindulatú aktivitásokhoz kötöttek. A nyomozás során kiderült, hogy az eszközök egy javítatlan (0-napos) sebezhetőséget (CVE-2023-28681) kihasználva lettek kompromittálva, amely lehetővé tette saját kód futtatását egy speciálisan formázott e-mail elküldésével. A probléma a fájlnevek megfelelő ellenőrzésének hiánya miatt merült fel a mellékletekben található tar-archívumokban, és lehetővé tette a tetszőleges parancs futtatását a rendszeren emelt szintű jogosultságokkal, megkerülve a Perl operátor „qx” kódvégrehajtási védelmét.
A sebezhetőség az ESG (appliance) különálló eszközeiben található, 5.1.3.001 és 9.2.0.006 közötti firmware verziókkal. A sebezhetőség kihasználásának esetei már 2022 októberétől nyomon követhetők, és 2023 májusáig a probléma észrevétlen maradt. A sebezhetőséget a támadók többféle rosszindulatú szoftver telepítésére használták a gateway-eken — SALTWATER, SEASPY és SEASIDE —, amelyek külső hozzáférést biztosítanak az eszközhöz (hátsó ajtó) és a bizalmas adatok megszerzésére alkalmazzák őket.
A SALTWATER hátsó ajtó mod_udp.so modul formájában jelent meg a bsmtpd SMTP folyamatában, és lehetővé tette tetszőleges fájlok betöltését és futtatását a rendszeren, valamint lekérdezések proxyzását és a forgalom tunneling-ét külső irányba. szerverA hátsó ajtó feletti irányításhoz a send, recv és close rendszerhívások elfogását használták.
A SEASIDE kártékony összetevő Lua nyelven készült, mod_require_helo.lua modul formájában települt az SMTP szerverre, és a HELO/EHLO parancsok bejövő nyomon követésével, a vezérlővel érkező lekérések azonosításával foglalkozott. a szerver és a visszanyelő shell indítási paramétereinek meghatározásával.
A SEASPY egy BarracudaMailService végrehajtható fájl volt, amely rendszer szerviz formájában települt. A szerviz PCAP alapú szűrőt használt a forgalom nyomon követésére a 25 (SMTP) és 587 számú hálózati portokon, és hátsó ajtót aktivált, amikor egy különleges sorrendű csomagot érzékelt.
Május 20-án a Barracuda kiadta a sebezhetőségek javítására vonatkozó frissítést, amelyet május 21-én küldtek el minden eszközre. Június 8-án bejelentették, hogy a frissítések nem elegendőek, és a felhasználóknak fizikailag kell helyettesíteniük a kompromittált eszközöket. A felhasználóknak azt is ajánlják, hogy cseréljék le az összes hozzáférési kulcsot és azokat a hitelesítő adatokat, amelyek átfedésben voltak a Barracuda ESG-vel, például a csatolt LDAP/AD és a Barracuda Cloud Control esetében. Előzetes adatok szerint körülbelül 11 ezer ESG eszköz található a hálózatban, amelyek Barracuda Networks Spam Firewall smtpd szolgáltatást használnak, amely az Email Security Gateway-ben alkalmazott.
Forrás: opennet.ru
