Barracuda cảnh báo lỗ hổng cho phép kẻ tấn công chạy mã với quyền root

Barracuda Networks Barracuda Email Security Gateway (ESG) — Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận của Barracuda Networks Email Security Gateway (ESG) Sử dụng Đường Dẫn Hoặc Kênh Thay Thế. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu Hóa Cập Nhật An ninh dựa trên Rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra triage pháp y của CISA (xem URL trong Ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.

Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận Cho phép Khôi Phục Cấu Hình Toàn Cục trong Barracuda Email Security Gateway

Trong Barracuda Email Security Gateway phiên bản sớm hơn 9.4.0.030, có một lỗ hổng cho phép người tấn công không xác thực từ xa thực thi chức năng nhập cấu hình và khôi phục một tệp lưu trữ hợp lệ được tạo công thức, dẫn đến thay đổi không được phép đối với cấu hình toàn cục của thiết bị.

Barracuda Networks Multiple Products — Lỗ hổng Tiêm lệnh hệ thống của nhiều sản phẩm Barracuda Networks. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu hóa cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá sự phơi bày mạng của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Tiêm lệnh hệ thống trong thiết bị Barracuda

Không xử lý đúng các ký tự metacharacter của shell trong trường cấu hình múi giờ của một số sản phẩm thiết bị Barracuda sử dụng mã Barracuda phổ biến cho phép người quản trị đã đăng nhập thực hiện lệnh hệ thống với quyền của người dùng root khi giá trị múi giờ được tạo công thức sau đó được xử lý.