Barracuda Networks ha annunciato la necessità di sostituire fisicamente i dispositivi ESG (Email Security Gateway), compromessi da malware a causa di una vulnerabilità 0-day nel modulo di elaborazione degli allegati e-mail. Si riporta che i precedenti patch non sono stati sufficienti a fermare il problema. Non vengono forniti dettagli, ma si presuppone che la decisione di sostituire l'attrezzatura sia stata presa a causa di un attacco che ha portato all'installazione di malware a basso livello e all'impossibilità di rimuoverlo tramite il ripristino del firmware o il ripristino ai dati di fabbrica. L'attrezzatura sarà sostituita gratuitamente, ma non vengono specificati i rimborsi per le spese di consegna e il lavoro di sostituzione.
L'ESG è un sistema hardware-software per proteggere la posta elettronica delle aziende da attacchi, spam e virus. Il 18 maggio è stato registrato un traffico anomalo dai dispositivi ESG, correlato ad attività malevole. L'analisi ha rivelato che i dispositivi erano stati compromessi utilizzando una vulnerabilità non corretta (0-day) (CVE-2023-28681), che consente di eseguire il proprio codice tramite l'invio di un'e-mail appositamente formattata. Il problema è stato causato dall'assenza di un'adeguata verifica dei nomi dei file all'interno degli archivi tar trasmessi come allegati e-mail, e ha consentito di eseguire comandi arbitrari nel sistema con privilegi elevati, eludendo l'escaping durante l'esecuzione del codice tramite l'operatore Perl «qx».
La vulnerabilità è presente nei dispositivi ESG (appliance) forniti separatamente con firmware dalle versioni 5.1.3.001 fino alla 9.2.0.006 inclusa. Si riscontra che l'exploitation della vulnerabilità è avvenuta fin da ottobre 2022 e fino a maggio 2023 il problema era rimasto inosservato. Gli attaccanti hanno sfruttato questa vulnerabilità per installare vari tipi di malware sui gateway — SALTWATER, SEASPY e SEASIDE — che offrono accesso esterno al dispositivo (backdoor) e vengono utilizzati per intercettare dati sensibili.
La backdoor SALTWATER è stata implementata come modulo mod_udp.so nel processo SMTP bsmtpd e consentiva di caricare ed eseguire file arbitrari nel sistema, oltre a proxyare richieste e tunnelare il traffico verso l'esterno server. Per ottenere il controllo su questa backdoor venivano intercettate le chiamate di sistema send, recv e close.
Il componente malevolo SEASIDE è stato scritto in linguaggio Lua, installato come modulo mod_require_helo.lua per il server SMTP e si occupava di monitorare i comandi HELO/EHLO in entrata, identificando le richieste dal controllo server e determinando i parametri di avvio della shell inversa.
SEASPY era un file eseguibile BarracudaMailService, installato come servizio di sistema. Il servizio utilizzava un filtro basato su PCAP per monitorare il traffico sulle porte di rete 25 (SMTP) e 587, attivando un backdoor alla rilevazione di un pacchetto con una sequenza speciale.
Il 20 maggio, Barracuda ha rilasciato un aggiornamento per correggere una vulnerabilità, che è stata distribuita a tutti i dispositivi il 21 maggio. L'8 giugno è stato annunciato che l'aggiornamento non era sufficiente e gli utenti dovevano sostituire fisicamente i dispositivi compromessi. Si consiglia agli utenti di sostituire tutte le chiavi di accesso e le credenziali che sono state utilizzate con Barracuda ESG, ad esempio, in LDAP/AD e Barracuda Cloud Control. Secondo le prime stime, ci sono circa 11.000 dispositivi ESG in rete che utilizzano il servizio Barracuda Networks Spam Firewall smtpd, impiegato nell'Email Security Gateway.
Fonte: opennet.ru
