Spoločnosť Barracuda Networks oznámila potrebu fyzickej výmeny zariadení ESG (Email Security Gateway), ktoré boli infikované malwareom v dôsledku 0-day zraniteľnosti v modulu spracovania príloh e-mailov. Je uvedené, že blokovanie problému predchádzajúcimi vydanými záplatami nie je dostatočné. Podrobnosti neboli zverejnené, ale predpokladá sa, že rozhodnutie o výmene zariadení bolo prijaté z dôvodu útoku, ktorý viedol k inštalácii malvéru na nízkej úrovni, a nemožnosti odstránenia prostredníctvom výmeny firmvéru alebo resetovania do továrenského nastavenia. Zariadenia budú vymenené bez poplatku, o náhrade nákladov na dopravu a prácu spojenú s výmenou nie sú nijaké podrobnosti.
ESG je hardvérovo-softvérový systém na ochranu podnikovej elektronickej pošty pred útokmi, spamom a vírusmi. 18. mája bol zaznamenaný anomálny prenos z zariadení ESG, ktorý bol spojený s malvérovou aktivitou. Analýza ukázala, že zariadenia boli kompromitované využitím neopravenej (0-day) zraniteľnosti (CVE-2023-28681), ktorá umožnila vykonanie vlastného kódu prostredníctvom zaslania špeciálne formátovanej e-mailovej správy. Problém bol spôsobený nedostatočnou kontrolou názvov súborov v tar-archívoch zasielaných v e-mailových prílohách, čo umožnilo vykonať ľubovoľný príkaz v systéme s privilégiami, obchádzajúc únik pri vykonávaní kódu cez Perl operátor 'qx'.
Zraniteľnosť sa nachádza v samostatne dodávaných zariadeniach ESG (appliance) s firmvérmi vo verziách od 5.1.3.001 do 9.2.0.006 vrátane. Skutočnosti o využívaní zraniteľnosti sú známe už od októbra 2022 a až do mája 2023 ostala problém nepozorovaný. Túto zraniteľnosť využívali útočníci na inštaláciu viacerých typov malvéru - SALTWATER, SEASPY a SEASIDE, ktoré poskytovali externý prístup k zariadeniu (backdoor) a používali sa na zachytávanie citlivých údajov.
Backdoor SALTWATER bol implementovaný vo forme modulu mod_udp.so do SMTP procesu bsmtpd a umožňoval načítanie a spúšťanie ľubovoľných súborov v systéme, ako aj proxy požiadavky a tunelovanie prenosu na externý. serverNa získanie kontroly bol v backdoore použitý intercept systémových volaní send, recv a close.
Malicious component SEASIDE was written in Lua and installed as the module mod_require_helo.lua for the SMTP server, monitoring incoming HELO/EHLO commands and identifying requests from the control. servera and determining the launch parameters of the reverse shell.
SEASPY was an executable file BarracudaMailService, installed as a system service. The service used a PCAP-based filter to monitor traffic on ports 25 (SMTP) and 587, activating the backdoor upon detecting a packet with a special sequence.
On May 20, Barracuda released an update to fix the vulnerability, which was deployed to all devices on May 21. On June 8, it was announced that the updates were insufficient and users needed to physically replace the compromised devices. Users are also advised to replace all access keys and credentials that intersected with Barracuda ESG, such as those in linked LDAP/AD and Barracuda Cloud Control. Preliminary data indicates that about 11 thousand ESG devices, utilizing the Barracuda Networks Spam Firewall smtpd service, which is used in the Email Security Gateway, are affected.
Zdroj: opennet.ru
