专家演示 Barracuda 邮件安全网关漏洞链，无需登录即可获取 root 权限

Barracuda 的 Email Security Gateway 是一款邮件过滤设备，其中的两个漏洞可以被串联利用，从而以 root（其最高权限级别）身份在其上执行命令，且无需登录。

该公司于周一发布了补丁，安全公司 watchTowr 于周四详细披露了这条攻击链。

其中一个漏洞 CVE-2026-116606 是授权绕过。未经身份验证的攻击者可以利用它恢复特制的配置备份，并更改设备的全局设置。

另一个漏洞 CVE-2026-111560 是命令注入。它以 root 身份运行命令，但通常需要一个管理员账户，而在 Email Security Gateway 上，该绕过漏洞为攻击者提供了这一访问权限。两者串联后，攻击者无需登录即可达到 root 权限。

受影响产品与修复

该授权绕过仅影响 Email Security Gateway。命令注入波及另外五个产品，但在这些产品上它仍然需要一个管理员账户。

分配了这两个 CVE 记录的 Mandiant 将授权绕过评为 9.3 分（满分 10 分），将命令注入评为 8.6 分。Barracuda 已为每个受影响产品发布了补丁，并在其安全公告中列出了修复后的固件。Email Security Gateway 在 9.4.0.030 及更高版本中已修复。

应采取的措施

公告列出了三个步骤：

• 为每个受影响产品应用补丁，或升级到上文列出的修复后固件。

• 如果无法立即打补丁，请将设备的管理界面限制在受信任的内部网络。

• 如果你已关闭自动打补丁功能，请重新开启。

攻击链如何运作

在其技术分析中，watchTowr 追踪了这条攻击链在设备代码中的路径。一次失败的密码更改会向攻击者返回一个低权限角色，而不是中止请求，这使得未登录者也能访问某个备份恢复功能。

该功能接受上传的备份，而恢复的数据中包含一个时区值，设备随后会以 root 权限将其作为 shell 命令执行。Barracuda 使用校验和来保护备份，但用于计算校验和的密钥被硬编码在代码中，使攻击者能够伪造有效的校验和。该公司通过以 root 身份向设备写入文件演示了该攻击。

截至本周，这两个漏洞均未出现在 CISA 的已知被利用漏洞（KEV）目录中，也没有公开报告将其中任何一个与攻击联系起来。watchTowr 还发布了一款检测工具，可检查设备是否存在漏洞，但尚未公布漏洞利用代码。

Email Security Gateway 曾在 2023 年遭到一个被追踪为 UNC4841 的组织的攻击，该组织利用了另一个漏洞 CVE-2023-2868 作为零日漏洞。该事件与本周修补的这两个漏洞无关，也没有任何证据将这对新漏洞与任何攻击者联系起来。