A empresa Barracuda Networks anunciou a necessidade de substituição física dos dispositivos ESG (Email Security Gateway) afetados por malware devido a uma vulnerabilidade 0-day no módulo de processamento de anexos de e-mail. Relata-se que a instalação de patches anteriores não é suficiente para bloquear o problema. Os detalhes não foram fornecidos, mas supostamente a decisão de substituir o equipamento foi tomada devido a um ataque que resultou na instalação de malware em baixo nível, sendo impossível removê-lo através de uma atualização de firmware ou restauração às configurações de fábrica. O equipamento será substituído gratuitamente, mas não foi especificado se haverá compensação pelos custos de envio e pelo trabalho de substituição.
O ESG é uma solução de hardware e software para proteger e-mails empresariais contra ataques, spam e vírus. Em 18 de maio, um tráfego anômalo foi registrado a partir dos dispositivos ESG, associado à atividade maliciosa. A análise revelou que os dispositivos foram comprometidos usando uma vulnerabilidade 0-day (CVE-2023-28681), permitindo a execução de código próprio através do envio de um e-mail especialmente formatado. O problema foi causado pela falta de verificação adequada dos nomes de arquivos dentro de arquivos tar enviados como anexos de e-mail, permitindo a execução de comandos arbitrários no sistema com privilégios elevados, contornando a sanitização ao executar código através do operador Perl 'qx'.
A vulnerabilidade está presente em dispositivos ESG (appliance) fornecidos separadamente com firmwares das versões 5.1.3.001 a 9.2.0.006, inclusas. Fatos de exploração da vulnerabilidade foram observados desde outubro de 2022, e até maio de 2023 o problema permaneceu despercebido. A vulnerabilidade foi explorada por atacantes para instalar vários tipos de malware — SALTWATER, SEASPY e SEASIDE — nos gateways, proporcionando acesso externo ao dispositivo (backdoor) e sendo utilizadas para capturar dados confidenciais.
O backdoor SALTWATER foi configurado como um módulo mod_udp.so no processo SMTP bsmtpd e permitia carregar e executar arquivos arbitrários no sistema, assim como proxyar solicitações e tunnelizar tráfego externamente. servidorPara obter controle no backdoor, eram interceptadas chamadas de sistema send, recv e close.
O componente malicioso SEASIDE foi escrito na linguagem Lua, instalado como um módulo mod_require_helo.lua para o servidor SMTP e se ocupava do rastreamento dos comandos de entrada HELO/EHLO, identificando requisições do controlador servidor e determinando os parâmetros de inicialização do shell reverso.
SEASPY consistia em um arquivo executável BarracudaMailService, instalado como um serviço do sistema. O serviço utilizava um filtro baseado em PCAP para rastrear o tráfego nas portas de rede 25 (SMTP) e 587, ativando um backdoor ao identificar um pacote com uma sequência especial.
Em 20 de maio, a Barracuda lançou uma atualização corrigindo a vulnerabilidade, que foi entregue a todos os dispositivos em 21 de maio. Em 8 de junho, foi anunciado que a atualização não era suficiente e os usuários precisavam substituir fisicamente os dispositivos comprometidos. Os usuários também foram recomendados a substituir todas as chaves de acesso e credenciais que cruzavam com o Barracuda ESG, por exemplo, em LDAP/AD vinculados e Barracuda Cloud Control. Segundo dados preliminares, há cerca de 11 mil dispositivos ESG na rede usando o serviço Barracuda Networks Spam Firewall smtpd, que é aplicado no Email Security Gateway.
Fonte: opennet.ru
