Barracuda разкри подробности за две уязвимости, засягащи нейните продукти, които при комбинирано използване биха могли да позволят на атакуващ да заобиколи контролите за оторизация и да получи root достъп до уязвимото устройство.
Уязвимостите — едната за заобикаляне на оторизацията преди автентикация, а другата за инжектиране на команди — са получили идентификатори CVE-2026-116606 (CVSS оценка: 9.3) и CVE-2026-111560 (CVSS оценка: 8.6), съответно.
Докато CVE-2026-116606 засяга само Email Security Gateway, CVE-2026-111560 оказва влияние върху следните продукти на Barracuda:
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
„Успешното експлоатиране изисква атакуващият да има достъп до административния интерфейс на засегнатия продукт“, посочват от Barracuda. „Ако бъдат експлоатирани в комбинация, тези уязвимости биха могли да позволят на атакуващ да заобиколи контролите за оторизация и да получи root достъп до устройството.“
От Barracuda отбелязват, че организациите, които не предоставят публичен достъп до административните си интерфейси през интернет, са по-малко застрашени от този вектор на атака, като съветват клиентите си да предприемат следните стъпки:
- Ограничаване на достъпа до административните интерфейси само до доверени вътрешни мрежи
- Използване на подходящи контроли за мрежов достъп с цел ограничаване на излагането на риск
„Клиентите, използващи тези продукти, трябва да проверят дали техните системи работят с най-новите версии на фърмуера и дали са получили всички корекции за сигурност“, допълват от компанията. „Ако фърмуерът на дадено устройство е изостанал с няколко версии, може да се наложи клиентите да извършат повече от едно обновяване.“