Rapid7 publicó un análisis detallado y la explotación de una falla en el dispositivo Barracuda Email Security Gateway (ESG). Se descubrió que las versiones 5.1.3.001–9.2.0.006 del dispositivo Barracuda Email Security Gateway (ESG) son susceptibles a una vulnerabilidad de inyección de comandos remotos. Se descubrió esta falla, a la que se le asignó el identificador CVE-2023-2868 y tenía una puntuación CVSS de 9,8. Desde octubre de 2022, ha sido objeto de una explotación sistemática. El error se produjo porque el procesamiento de los archivos .tar, a menudo conocidos como archivos de cinta, no se desinfectó a fondo. Esta vulnerabilidad surge como resultado de una validación de entrada incompleta de un archivo [.]tar proporcionado por el usuario con respecto a los nombres de los archivos incluidos dentro del archivo.
Como consecuencia de esto, un atacante remoto puede crear estos nombres de archivo para permitir la ejecución de comandos del sistema remoto utilizando el operador qx de Perl y las capacidades del software conocido como Email Security Gateway. Este problema se solucionó con el parche BNSF-36456, que fue lanzado recientemente. Este parche se instalaba automáticamente en todos y cada uno de los dispositivos que tenía un cliente.
Según los resultados proporcionados por Rapid7, los investigadores llevaron a cabo su examen utilizando un Barracuda ESG 300 de segunda mano equipado con la versión de firmware 8.0.1.001. Rápidamente validaron la ejecución efectiva de comandos contra el dispositivo real utilizando el PoC para ejecutar comandos de ping y excavación, además de realizar algunas pruebas fundamentales. ¡Inmediatamente establecieron que estas instrucciones eran efectivas al usar dnschef y wireshark en todo el tráfico! Para obtener acceso al shell, se utilizó la siguiente carga útil, que también se mencionó en la alerta de Mandiant.
Barracuda Email Security Gateway (ESG) es un servicio que no solo filtra el correo electrónico entrante y saliente, sino que también protege los datos del cliente. Enterprise Security Group (ESG) puede implementarse como un dispositivo físico o virtual, así como en la nube pública en Amazon Web Services (AWS) o Microsoft Azure. Barracuda ha publicado un análisis detallado de la situación hasta este punto, que incluye información sobre evidencia sustancial de infiltración, nuevos detalles de vulnerabilidad y detalles específicos sobre el módulo de puerta trasera para el demonio SMTP de Barracuda. Según los informes, a partir del 8 de junio (Barracuda Networks Spam Firewall smtpd), parecía haber alrededor de 11 000 dispositivos en Internet que ejecutaban el demonio SMTP “Barracuda Networks Spam Firewall”. Esta información se derivó de un dispositivo ESG conocido.
Por lo tanto, los clientes de Barracuda Email Security Gateway que tienen dispositivos físicos deben actualizar inmediatamente su firmware a la versión más reciente.
Es un conocido experto en seguridad móvil y análisis de malware. Estudió Ciencias de la Computación en la NYU y comenzó a trabajar como analista de seguridad cibernética en 2003. Trabaja activamente como experto en antimalware. También trabajó para empresas de seguridad como Kaspersky Lab. Su trabajo diario incluye investigar sobre nuevos incidentes de malware y ciberseguridad. También tiene un profundo nivel de conocimiento en seguridad móvil y vulnerabilidades móviles.