Barracuda Email Security Gateway(ESG)に存在する2件の重大な脆弱性を悪用されると、認証されていない攻撃者が認証を回避し、root権限でOSコマンドを実行できる恐れがあります。
これらの脆弱性はCVE-2026-116606とCVE-2026-111560として追跡されています。watchTowr Labsのセキュリティ研究者Sina Kheirkhah氏が、2026年11月5日に詳細を公表しました。
サイバーセキュリティニュース
Barracuda Email Security Gatewayの脆弱性
これらの脆弱性はBarracudaのセキュリティアプライアンスに影響します。攻撃者が両者を組み合わせれば、脆弱なシステムを完全に掌握できるため、深刻なリスクとなります。インターネットに公開されたメールセキュリティゲートウェイを使用している組織は、提供されているセキュリティアップデートの適用を優先してください。
WatchTowr Labsによると、CVE-2026-116606は認証前に悪用できる認可バイパスの脆弱性で、CVSSスコアは9.3(Critical)です。Barracuda ESGに影響し、バージョン9.4.0.029で修正されています。
もう1つのCVE-2026-111560は、OSコマンドインジェクションの脆弱性で、CVSSスコアは8.6(High)です。Email Security Gateway、Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall、Web Security Gatewayなど、Barracudaの複数の製品に影響します。バージョン9.4.0.029に修正が含まれています。
研究者らは、Barracuda ESGのバージョン9.4.0.027と、パッチ適用済みのバージョン9.4.0.029を比較して、これらの脆弱性を発見しました。分析では、Index.pm、Backup2.pm、bayesian_upload.pm、UserRole.pm、Params.pm、fix_tz.plなど、変更された複数のPerlファイルを調べています。
1つ目の脆弱性は、Index.pmのパスワード変更処理に起因します。認証されていないユーザーが、一致しないパスワードを指定してパスワード変更を要求すると、脆弱なコードはリクエストを適切に終了せず、ログイン画面用のユーザーロールを返します。
アプライアンスはパスワード変更の失敗を報告するものの、処理は追加のレスポンスハンドラーへと続行されます。この挙動により認証バイパスが可能になり、別の脆弱性と組み合わせることで、特権機能へアクセスできるようになります。パッチ適用版では、専用のJSONログインレスポンスを使い、リクエストを直ちに終了するようになりました。
2つ目の脆弱性は、バックアップの復元時に安全でないシェルコマンドが実行されることに関するものです。研究者らは、Backup2.pmとfix_tz.plに脆弱なコードがあることを突き止めました。アプライアンスはPerlのバッククォートを使い、system_timezoneの値を含むsedコマンドを実行していました。
セキュリティを学ぶ
この値は適切に検証されていないため、攻撃者が入力を操作してシェルコマンドの構造を改変できます。シェルのメタ文字を挿入すれば、追加のOSコマンドを実行される恐れがあります。
さらに、タイムゾーンの更新処理がsudo経由で実行される点が、問題を深刻にしています。fix_tz.plスクリプトはシステムのsudoの仕組みで起動されるため、挿入されたコマンドもroot権限で実行されます。
研究者らは、bayesian_upload.pmハンドラー経由でこの脆弱な機能に到達する方法も特定しました。このハンドラーはバックアップファイルを受け取り、restore_all関数に渡します。バックアップアーカイブには、構成要素を記述したbackup.xmlファイルが含まれています。その1つであるSpam_Configは、アプライアンスのローカルMySQLデータベースに設定データを復元します。
復元されるデータベースの値の1つが、system_timezoneです。研究者らは、細工したバックアップでこの値を操作することにより、復元処理から脆弱なコマンド実行関数に到達できることを実証しました。
研究者らは、Pythonベースの検出ツールもGitHubで公開しました。このツールは検出用のアーティファクトを生成し、Barracuda ESGアプライアンスが、この複合的な攻撃経路に対して脆弱かどうかを確認します。
管理者は、影響を受けるアプライアンスを修正版へ更新し、バックアップの復元履歴を確認したうえで、想定外の設定変更がないか調査する必要があります。あわせて、管理インターフェースへのアクセスを制限し、不審なコマンド実行やアプライアンスの動作を監視してください。
今回の研究は、認証処理とバックアップ復元という一見無関係な弱点が組み合わさることで、深刻なセキュリティ侵害につながり得ることを示しています。リモートの攻撃者がメールセキュリティインフラを完全に掌握する事態にもなりかねません。
サイバーセキュリティニュース
SOCにアラートの文脈を提供し、インシデントを迅速に止めましょう。16,000のSOCの脅威インテリジェンスを統合しましょう。
翻訳元: https://gbhackers.com/barracuda-email-security-gateway-flaws-2/
