Impatto Sistemico

Critico (78.58)

Sintesi

Disponibile Proof of Concept (PoC) per lo sfruttamento delle vulnerabilità identificate tramite le CVE-2026-116606 e CVE-2026-111560 che interessano vari prodotti Barracuda. Tali vulnerabilità, qualora sfruttate in combinazione, potrebbero consentire a un attaccante remoto, in grado di raggiungere l’interfaccia amministrativa del dispositivo, di eludere i meccanismi di autenticazione ed eseguire codice arbitrario sul dispositivo interessato.

Tipologia

• Authentication Bypass
• Remote Code Execution

Descrizione e potenziali impatti

Disponibile Proof of Concept (PoC) per lo sfruttamento delle vulnerabilità identificate tramite le CVE-2026-116606 e CVE-2026-111560 che interessano vari prodotti Barracuda. Nel dettaglio:

• la CVE-2026-116606 – di tipo “ Authentication Bypass ” e con score CVSS 4.0 pari a 9.3 – interessa Barracuda Email Security Gateway (ESG) ed è dovuta ad un errore di gestione del flusso applicativo durante la procedura di cambio password amministrativa. In determinate condizioni, quando il cambio password fallisce ( ERROR_PASSWD_CHANGE ), il software segnala correttamente il problema all’utente ma non interrompe l’elaborazione della richiesta come previsto. Ne deriva che alcune operazioni successive possono essere processate nonostante si sia verificata una condizione che avrebbe dovuto bloccare immediatamente la richiesta. Un attaccante non autenticato, in grado di raggiungere l’interfaccia amministrativa del dispositivo, potrebbe sfruttare tale vulnerabilità tramite l’invio di richieste appositamente predisposte che innescano una condizione di errore nella procedura di cambio password amministrativa, inducendo il software a elaborare richieste che avrebbero dovuto essere respinte ed eludendo così i controlli di autenticazione.
• la CVE-2026-111560 – di tipo “ OS Command Injection ” e con score CVSS 4.0 pari a 8.6 – interessa i prodotti Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) e WAF Control Center (WCC). Questa vulnerabilità è dovuta all’inadeguata neutralizzazione di metacaratteri della shell all’interno del campo di configurazione del fuso orario ( system_timezone ). Un attaccante autenticato potrebbe sfruttare tale vulnerabilità per inserire all’interno di tale campo, un valore appositamente predisposto contenente comandi di sistema che, quando il parametro viene successivamente elaborato dal prodotto, vengono eseguiti con privilegi elevati.

La concatenazione delle due vulnerabilità consente ad un attaccante remoto non autenticato, in grado di raggiungere l’interfaccia amministrativa del dispositivo, di aggirare i controlli di autenticazione e ottenere l’esecuzione di codice arbitrario con privilegi elevati sul sistema interessato.

Prodotti e/o versioni affette

• Email Security Gateway (ESG)
• Load Balancer Application Delivery Controller (ADC)
• Message Archiver (BMA)
• WAF Control Center (WCC)
• Web Application Firewall (WAF)
• Web Security Gateway (WSG)

N.B. Maggiori dettagli riguardanti i prodotti interessati dalle vulnerabilità e le relative patch, sono disponibili nella sezione “Affected Products and Remediation” del bollettino di sicurezza del vendor riportato nella sezione “Riferimenti”.

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare i prodotti vulnerabili all’ultima versione firmware disponibile e di applicare tempestivamente tutte le patch di sicurezza rilasciate dal fornitore, seguendo le indicazioni fornite nel bollettino di sicurezza riportato nella sezione Riferimenti.