Un'interfaccia esposta può trasformare gli appliance Barracuda in accesso root
Barracuda ha divulgato due vulnerabilità concatenabili che possono portare all’accesso root sugli appliance, ma solo se l’attaccante raggiunge l’interfaccia amministrativa. La possibilità di sfruttare la catena dipende quindi dall’esposizione del piano di gestione.
Su Email Security Gateway, CVE-2026-116606 consente di raggiungere senza la normale autorizzazione una funzione di importazione della configurazione. CVE-2026-111560 fa invece interpretare un’impostazione del fuso orario come un comando e riguarda sei famiglie di appliance. Insieme, le due falle trasformano una modifica alle impostazioni in una via verso i privilegi root.
La falla di command injection coinvolge anche Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway. Barracuda invita a verificare firmware e patch, ma le fonti non indicano versioni corrette specifiche. Il confine decisivo resta la raggiungibilità dell’interfaccia amministrativa.
Kwetsbaarheden verholpen in Barracuda Email Security Gateway
Barracuda heeft twee kwetsbaarheden vastgesteld in verschillende Barracuda-producten: een kwetsbaarheid voor het omzeilen van autorisatiecontroles (CVE-2026-116606) en een kwetsbaarheid voor command injection (CVE-2026-111560).