Barracuda Email Security Gateway bị khai thác, Google phát hành bản vá khẩn

Barracuda Networks Barracuda Email Security Gateway (ESG) — Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận của Barracuda Networks Email Security Gateway (ESG) Sử dụng Đường Dẫn Hoặc Kênh Thay Thế. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu Hóa Cập Nhật An ninh dựa trên Rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra triage pháp y của CISA (xem URL trong Ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.

Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận Cho phép Khôi Phục Cấu Hình Toàn Cục trong Barracuda Email Security Gateway

Trong Barracuda Email Security Gateway phiên bản sớm hơn 9.4.0.030, có một lỗ hổng cho phép người tấn công không xác thực từ xa thực thi chức năng nhập cấu hình và khôi phục một tệp lưu trữ hợp lệ được tạo công thức, dẫn đến thay đổi không được phép đối với cấu hình toàn cục của thiết bị.

Barracuda Networks Multiple Products — Lỗ hổng Tiêm lệnh hệ thống của nhiều sản phẩm Barracuda Networks. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu hóa cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá sự phơi bày mạng của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Tiêm lệnh hệ thống trong thiết bị Barracuda

Không xử lý đúng các ký tự metacharacter của shell trong trường cấu hình múi giờ của một số sản phẩm thiết bị Barracuda sử dụng mã Barracuda phổ biến cho phép người quản trị đã đăng nhập thực hiện lệnh hệ thống với quyền của người dùng root khi giá trị múi giờ được tạo công thức sau đó được xử lý.

Barracuda Networks Email Security Gateway (ESG) Appliance — Lỗ hổng xác nhận đầu vào không đúng của Barracuda Networks ESG Appliance. Đưa vào KEV ngày 2023-05-26, hạn khắc phục với cơ quan liên bang Mỹ: 2023-06-16. Yêu cầu: Áp dụng cập nhật theo hướng dẫn nhà sản xuất

Tín hiệu truyền lệnh từ xa trong Barracuda Email Security Gateway

Một lỗ hổng truyền lệnh từ xa tồn tại trong sản phẩm Barracuda Email Security Gateway (chỉ dạng thiết bị máy móc) ảnh hưởng đến các phiên bản từ 5.1.3.001 đến 9.2.0.006. Lỗ hổng này xuất phát từ việc không thực hiện việc làm sạch toàn diện trong quá trình xử lý tệp .tar (đĩa băng lưu trữ). Lỗ hổng này xuất phát từ việc kiểm tra đầu vào không đầy đủ của tên tệp .tar do người dùng cung cấp, đặc biệt là tên các tệp đ…