Barracuda מזהירה: שתי חולשות בשער הדואר וב-WAF עלולות לתת לתוקף שליטה מלאה
Barracuda פרסמה תיקונים לשתי חולשות חמורות בשישה מוצרים, בהם שער הדואר ESG וחומת האש לאתרים. השילוב ביניהן עלול לתת לתוקף הרשאות root על המכשיר.
TL;DR בקצרה
- שתי חולשות חדשות: CVE-2026-116606 בציון 9.3 ו-CVE-2026-111560 בציון 8.6
- שער הדואר ESG פגיע לשתיהן, וחמישה מוצרים נוספים פגיעים לשנייה
- הניצול דורש גישה לממשק הניהול, ולכן ממשק שחשוף לאינטרנט הוא הסיכון העיקרי
- יש לוודא שהתיקון הותקן, ולהתקין ידנית אם העדכון האוטומטי כבוי
Barracuda פרסמה ב-2 בנובמבר תיקונים לשתי חולשות חמורות בשישה ממוצרי האבטחה שלה. הבולט שבהם הוא שער הדואר Email Security Gateway (ESG), שפגיע לשתי החולשות. לפי הודעת האבטחה של Barracuda, שילוב של שתיהן עלול לאפשר לתוקף לעקוף את בקרות ההרשאה ולקבל הרשאות root, כלומר שליטה מלאה במכשיר.
אילו מוצרים של Barracuda פגיעים, ומה מספרי התיקונים
החולשה הראשונה, CVE-2026-116606, קיבלה ציון חומרה 9.3 מתוך 10. היא קיימת רק ב-ESG. זו עקיפת הרשאות שמאפשרת לשנות את ההגדרות הכלליות של המכשיר. CVE הוא מספר זיהוי בינלאומי שניתן לכל חולשה מתועדת.
החולשה השנייה, CVE-2026-111560, קיבלה ציון 8.6. היא מאפשרת להזריק פקודות מערכת שירוצו בהרשאות root. היא פוגעת בשישה מוצרים. לכל מוצר יש מזהה תיקון משלו:
- Email Security Gateway (ESG): תיקון BNSF-40425 לגרסה 9.4.017 ומעלה, ו-BNSF-40430 לגרסאות ישנות ממנה.
- Load Balancer ADC: תיקון BNADC-16586.
- Message Archiver (BMA): תיקון BNMA-32468.
- WAF Control Center (WCC): תיקון BNWF-60060.
- Web Application Firewall (WAF): תיקון BNADC-16586.
- Web Security Gateway (WSG): תיקון BNYF-24789.
ההודעה לא מפרטת טווחי גרסאות פגיעות למוצרים מלבד ESG. היא גם לא מציינת אם החולשות כבר מנוצלות בפועל. גם BleepingComputer לא דיווח על ניצול נכון לעכשיו.
למה חולשה בשער הדואר של Barracuda מדאיגה במיוחד
לפי Barracuda, ניצול החולשות דורש גישה לממשק הניהול של המוצר. זה מחסום שעובד רק על הנייר. בעסקים רבים ממשק הניהול נגיש מהאינטרנט, כדי שספק חיצוני או מנהל רשת יוכלו להתחבר מרחוק. מכשיר כזה הוא היעד הראשון של תוקפים שסורקים את הרשת.
שער דואר יושב בנקודה רגישה. כל המיילים של הארגון עוברים דרכו, כולל חשבוניות וקבצים. מי שמשתלט עליו יכול לקרוא דואר, להסתיר הודעות או להשתמש בו כנקודת כניסה לרשת הפנימית. חומת אש לאפליקציות אתרים (WAF) היא מסנן שיושב לפני האתר וחוסם תקיפות. השתלטות עליה פותחת את הדרך אל השרתים שהיא אמורה להגן עליהם.
ל-ESG יש היסטוריה לא פשוטה. ב-2023 קבוצת תקיפה שמכונה UNC4841 ניצלה חולשת יום אפס במכשיר, כלומר פרצה שעוד לא היה לה תיקון. לפי Barracuda, הניצול התחיל כבר באוקטובר 2022 והשתיל במכשירים נוזקות בשם SeaSpy ו-Saltwater. חברת Mandiant דיווחה אז שכמעט שליש מהמכשירים שנפרצו היו של גופי ממשל.
לפי הדיווח, ל-Barracuda למעלה מ-200 אלף לקוחות. הם כוללים עסקים קטנים, ארגונים גדולים וספקי שירותי IT. בישראל המוצרים שלה נפוצים אצל ספקי IT שמנהלים דואר ואתרים עבור כמה לקוחות במקביל.
מה זה אומר עבורכם
- בדקו אם יש בארגון אחד משישת המוצרים ברשימה. אם ספק IT מנהל לכם את הדואר או את האתר, שאלו אותו ישירות.
- היכנסו לממשק המכשיר ובדקו שהתיקון המתאים הותקן. אם לא, התקינו אותו ידנית לפי מספר התיקון שבהודעה.
- הפעילו קבלת עדכונים אוטומטית אם היא כבויה. מכשיר שמפגר בכמה גרסאות עשוי לדרוש כמה עדכונים ברצף.
- סגרו את ממשק הניהול לגישה מהאינטרנט. השאירו גישה רק מהרשת הפנימית או דרך VPN, עם רשימת כתובות מורשות.
- אם ממשק הניהול היה חשוף, בדקו ביומני המכשיר שינויים חריגים בהגדרות או כניסות לא מוכרות.
מה הלאה
Barracuda לא דיווחה על ניצול בשלב זה, אבל חולשות במכשירי קצה מושכות תוקפים מהר. ברגע שפרטי התיקון פומביים, אפשר להשוות בין הגרסאות ולבנות כלי תקיפה. לכן כדאי לא לחכות לדיווח על תקיפות. מי שמתקין עכשיו סוגר את הפתח לפני שמישהו מנסה להשתמש בו.
מקורות והרחבה
- Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda ProductsBarracuda Networks
- Barracuda warns of critical flaws allowing root access to devicesBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
