Barracuda Networks heeft aangekondigd dat fysieke vervanging van ESG-apparaten (Email Security Gateway) noodzakelijk is, die zijn aangetast door malware als gevolg van een 0-day kwetsbaarheid in de module voor het verwerken van e-mailbijlagen. Er wordt gemeld dat het installeren van eerder uitgebrachte patches onvoldoende is om het probleem te verhelpen. Er worden geen details gegeven, maar vermoedelijk is de beslissing om de apparatuur te vervangen genomen vanwege een aanval die heeft geleid tot de installatie van malware op laag niveau, en het onvermogen om deze te verwijderen door de firmware te vervangen of een fabrieksreset uit te voeren. De apparatuur zal gratis worden vervangen, details over compensatie voor verzend- en vervangingskosten zijn niet gespecificeerd.
ESG is een hardware-software combinatie voor het beschermen van de e-mail van bedrijven tegen aanvallen, spam en virussen. Op 18 mei werd abnormaal verkeer van ESG-apparaten vastgesteld, dat verband hield met kwaadaardige activiteiten. Analyse toont aan dat de apparaten waren gecompromitteerd door een onverholpen (0-day) kwetsbaarheid (CVE-2023-28681), die in staat was om zijn code uit te voeren door het verzenden van een speciaal opgemaakt e-mailbericht. Het probleem werd veroorzaakt door het gebrek aan juiste controle van bestandsnamen binnen tar-archieven die als e-mailbijlagen werden verzonden, en stelde een aanvaller in staat om willekeurige commando's uit te voeren in het systeem met verhoogde privileges, door de ontsnapping bij de uitvoering van code via de Perl-operator "qx" te omzeilen.
De kwetsbaarheid is aanwezig in afzonderlijk geleverde ESG-apparaten (appliance) met firmwareversies van 5.1.3.001 tot en met 9.2.0.006. Feiten van exploitatie van de kwetsbaarheid zijn traceerbaar sinds oktober 2022 en tot mei 2023 was het probleem onopgemerkt gebleven. Aanvallers hebben de kwetsbaarheid gebruikt om verschillende soorten malware op de gateways te installeren — SALTWATER, SEASPY en SEASIDE, die externe toegang tot het apparaat (backdoor) bieden en worden gebruikt voor het onderscheppen van gevoelige gegevens.
De backdoor SALTWATER was geconfigureerd als een module mod_udp.so voor het SMTP-proces bsmtpd en stelde in staat om willekeurige bestanden op het systeem te laden en uit te voeren, evenals verzoeken te proxy'en en verkeer naar buiten te tunnelen. serverVoor het verkrijgen van controle in de backdoor werd gebruikgemaakt van het onderscheppen van de systeemaanroepen send, recv en close.
De kwaadaardige component SEASIDE was geschreven in de programmeertaal Lua, geïnstalleerd als de module mod_require_helo.lua voor de SMTP-server en hield zich bezig met het volgen van binnenkomende HELO/EHLO-commando's, het identificeren van verzoeken van de besturingsserver de server en het bepalen van de opstartparameters van de reverse shell.
SEASPY was een uitvoerbaar bestand BarracudaMailService, geïnstalleerd als een systeemservice. De service gebruikte een PCAP-gebaseerd filter om verkeer op netwerkpoorten 25 (SMTP) en 587 te volgen en activeerde de backdoor bij detectie van een pakket met een speciale reeks.
Op 20 mei heeft Barracuda een update uitgebracht met een fix voor de kwetsbaarheid, die op 21 mei naar alle apparaten is uitgerold. Op 8 juni werd aangekondigd dat de updates onvoldoende waren en dat gebruikers de gecompromitteerde apparaten fysiek moesten vervangen. Gebruikers wordt ook aangeraden om alle toegangsleningen en inloggegevens die in verband stonden met Barracuda ESG te vervangen, zoals in gekoppelde LDAP/AD en Barracuda Cloud Control. Voorlopige gegevens geven aan dat er ongeveer 11 duizend ESG-apparaten in het netwerk zijn die gebruikmaken van de Barracuda Networks Spam Firewall smtpd-service, die wordt toegepast in de Email Security Gateway.
Bron: opennet.ru
