Les failles de Barracuda Email Security Gateway permettent un accès root sans authentification

Des chercheurs en sécurité ont identifié une chaîne de vulnérabilités critique dans le Barracuda Email Security Gateway qui permet aux attaquants d'obtenir un accès au niveau root sans s'authentifier. Barracuda a publié des correctifs pour ce problème le lundi 3 novembre 2026, tandis que l'entreprise de sécurité watchTowr a publié une analyse technique détaillée de la chaîne d'exploitation le jeudi 6 novembre 2026.

Ce qui s'est passé

La vulnérabilité implique deux failles distinctes qui, combinées, contournent tous les mécanismes d'authentification. La première faille, suivie sous le nom CVE-2026-116606, est un contournement d'autorisation spécifique au Email Security Gateway. Elle permet à un attaquant non authentifié de restaurer une sauvegarde de configuration créée sur mesure, modifiant ainsi les paramètres globaux de l'appliance. La seconde faille, CVE-2026-111560, est une vulnérabilité d'injection de commandes qui exécute des commandes avec des privilèges root. Bien que cette seconde faille nécessite généralement des identifiants administrateur, le contournement d'autorisation fournit le niveau d'accès nécessaire pour la déclencher à distance.

Mandiant a attribué des scores de sévérité de 9,3 sur 10 pour le contournement d'autorisation et de 8,6 sur 10 pour l'injection de commandes. Bien que l'injection de commandes affecte cinq autres produits Barracuda, ces variantes nécessitent toujours des comptes administrateur valides, limitant leur risque immédiat par rapport à la chaîne spécifique à la passerelle. Barracuda a publié un micrologiciel corrigé pour tous les produits affectés, le Email Security Gateway nécessitant la version 9.4.0.030 ou ultérieure pour résoudre les deux problèmes.

Détails clés

• CVE-2026-116606 : Un contournement d'autorisation permettant la restauration de sauvegardes non authentifiée et la modification des paramètres sur le Email Security Gateway.
• CVE-2026-111560 : Une faille d'injection de commandes qui exécute des commandes en tant que root, exploitable via le contournement sur la passerelle.
• Version corrigée : Les utilisateurs du Email Security Gateway doivent effectuer une mise à niveau vers la version du micrologiciel 9.4.0.030 ou ultérieure.
• Vecteur d'attaque : Les attaquants forgent une somme de contrôle de sauvegarde à l'aide d'un secret codé en dur, puis injectent des commandes malveillantes via le paramètre de fuseau horaire.
• Statut actuel : Aucun rapport public ne lie ces failles à des attaques actives, et elles ne figurent pas encore dans le catalogue des vulnérabilités connues exploitées (KEV) de la CISA.
• Détection : watchTowr a publié un outil pour vérifier la vulnérabilité, mais n'a pas publié de code d'exploit.

Contexte

Pour comprendre la gravité de la situation, il est utile d'examiner le fonctionnement technique de la chaîne d'attaque. L'analyse de WatchTowr révèle qu'une demande échouée de changement de mot de passe ne termine pas correctement la session. Au lieu de cela, elle attribue à l'utilisateur un rôle à faible privilège qui laisse involontairement la fonction de restauration de sauvegarde accessible. Cette fonction accepte les fichiers de configuration téléchargés. Normalement, ces fichiers sont protégés par une somme de contrôle pour garantir leur intégrité. Cependant, comme la clé secrète utilisée pour générer cette somme de contrôle est intégrée directement dans le code source, un attaquant peut calculer une somme de contrôle valide pour un fichier malveillant.

Une fois la sauvegarde falsifiée restaurée, l'appliance traite les données de configuration. Plus précisément, elle prend une valeur de fuseau horaire depuis la sauvegarde et l'exécute comme une commande shell avec des privilèges root. En intégrant une commande malveillante dans le champ du fuseau horaire de la sauvegarde créée sur mesure, un attaquant parvient à une exécution de code à distance avec les permissions les plus élevées possibles sur l'appareil. Ce type de vulnérabilité est particulièrement dangereux pour les passerelles e-mail, qui se situent à la périphérie des réseaux d'entreprise et gèrent un trafic de communication sensible.

Pourquoi c'est important

Pour les équipes gérant leur propre infrastructure, cet incident met en lumière les risques associés aux appliances complexes et propriétaires. La dépendance à un secret codé en dur pour la validation des sommes de contrôle représente une défaillance fondamentale de conception. Lorsque les secrets sont intégrés dans le code plutôt que gérés dynamiquement, toute partie ayant accès au binaire peut les inverser. Cela compromet les vérifications d'intégrité destinées à protéger les sauvegardes de configuration, transformant une fonctionnalité de sécurité en vecteur d'attaque. Pour les responsables IT, cela souligne l'importance d'examiner comment les fournisseurs gèrent les secrets cryptographiques et la gestion des configurations.

De plus, l'enchaînement de deux failles de sévérité modérée en un exploit critique démontre pourquoi des tests de sécurité holistiques sont essentiels. Individuellement, un contournement d'autorisation et une injection de commandes pourraient être classés moins sévèrement s'ils nécessitaient un accès partiel. Ensemble, ils créent un chemin vers le root sans aucune authentification. Ce scénario rappelle que les évaluations de sécurité doivent tenir compte de l'interaction entre différents composants. Les équipes utilisant des logiciels auto-hébergés devraient examiner régulièrement les avis des fournisseurs non seulement pour les vulnérabilités uniques, mais aussi pour les chaînes potentielles pouvant entraîner une escalade inattendue des privilèges.

Que pouvez-vous faire

• Effectuez une mise à niveau immédiatement : Appliquez le dernier micrologiciel (version 9.4.0.030 ou ultérieure) à toutes les passerelles Barracuda Email Security Gateways.
• Restreignez l'accès réseau : Si la correction immédiate n'est pas possible, limitez l'accès à l'interface d'administration uniquement aux adresses IP internes fiables.
• Activez les mises à jour automatiques : Assurez-vous que la correction automatique est activée pour réduire la fenêtre d'exposition aux futures vulnérabilités.
• Exécutez des outils de détection : Utilisez l'outil de détection publié par watchTowr pour vérifier si vos appliances sont actuellement vulnérables.
• Auditez les journaux : Examinez les journaux système pour détecter des activités inhabituelles de restauration de sauvegardes ou des tentatives échouées de changement de mot de passe provenant d'IP externes.
• Surveillez les avis : Abonnez-vous aux notifications de sécurité des fournisseurs et aux alertes de la CISA pour rester informé des nouvelles menaces.