Lỗ hổng trên Barracuda Email Security Gateway cho phép truy cập root không cần xác thực

Các nhà nghiên cứu bảo mật đã xác định một chuỗi lỗ hổng nghiêm trọng trên Barracuda Email Security Gateway, cho phép kẻ tấn công giành quyền truy cập cấp độ root mà không cần xác thực. Barracuda đã phát hành các bản vá cho vấn đề này vào thứ Hai, ngày 3 tháng 11 năm 2026, trong khi công ty an ninh mạng watchTowr công bố phân tích kỹ thuật chi tiết về chuỗi khai thác vào thứ Năm, ngày 6 tháng 11 năm 2026.

Chuyện gì đã xảy ra

Lỗ hổng liên quan đến hai lỗi riêng biệt, khi kết hợp lại sẽ bỏ qua mọi cơ chế xác thực. Lỗi đầu tiên, được theo dõi dưới mã CVE-2026-116606, là một lỗi bỏ qua ủy quyền đặc thù của Email Security Gateway. Nó cho phép kẻ tấn công chưa xác thực khôi phục một bản sao lưu cấu hình được tạo thủ công, từ đó thay đổi các thiết lập toàn cục trên thiết bị. Lỗi thứ hai, CVE-2026-111560, là một lỗ hổng chèn lệnh (command injection) thực thi các lệnh với đặc quyền root. Mặc dù lỗi thứ hai thường yêu cầu thông tin đăng nhập quản trị viên, nhưng việc bỏ qua ủy quyền cung cấp mức truy cập cần thiết để kích hoạt nó từ xa.

Mandiant đã gán điểm mức độ nghiêm trọng là 9,3/10 cho lỗi bỏ qua ủy quyền và 8,6/10 cho lỗi chèn lệnh. Mặc dù lỗi chèn lệnh ảnh hưởng đến năm sản phẩm khác của Barracuda, nhưng các biến thể đó vẫn yêu cầu tài khoản quản trị viên hợp lệ, do đó hạn chế rủi ro tức thời so với chuỗi khai thác đặc thù trên gateway. Barracuda đã phát hành firmware sửa lỗi cho tất cả các sản phẩm bị ảnh hưởng, trong đó Email Security Gateway yêu cầu phiên bản 9.4.0.030 hoặc mới hơn để giải quyết cả hai vấn đề.

Chi tiết chính

• CVE-2026-116606: Một lỗi bỏ qua ủy quyền cho phép khôi phục bản sao lưu và thay đổi thiết lập mà không cần xác thực trên Email Security Gateway.
• CVE-2026-111560: Một lỗi chèn lệnh chạy các lệnh với quyền root, có thể bị khai thác thông qua lỗi bỏ qua ủy quyền trên gateway.
• Phiên bản đã sửa: Người dùng Email Security Gateway phải nâng cấp lên phiên bản firmware 9.4.0.030 hoặc mới hơn.
• Vector tấn công: Kẻ tấn công giả mạo checksum của bản sao lưu bằng cách sử dụng một secret được hard-code, sau đó chèn các lệnh độc hại thông qua thiết lập múi giờ.
• Trạng thái hiện tại: Chưa có báo cáo công khai nào liên kết các lỗ hổng này với các cuộc tấn công đang diễn ra, và chúng chưa xuất hiện trong danh mục Known Exploited Vulnerabilities của CISA.
• Phát hiện: watchTowr đã phát hành một công cụ để kiểm tra lỗ hổng nhưng chưa công bố mã khai thác.

Bối cảnh

Để hiểu rõ mức độ nghiêm trọng, cần xem xét cách thức hoạt động kỹ thuật của chuỗi tấn công. Phân tích của WatchTowr tiết lộ rằng một yêu cầu thay đổi mật khẩu thất bại không kết thúc phiên đúng cách. Thay vào đó, nó gán cho người dùng một vai trò có đặc quyền thấp, vô tình khiến chức năng khôi phục bản sao lưu vẫn có thể truy cập được. Chức năng này chấp nhận các tệp cấu hình được tải lên. Thông thường, các tệp này được bảo vệ bởi một checksum để đảm bảo tính toàn vẹn. Tuy nhiên, vì khóa bí mật (secret key) dùng để tạo checksum này được nhúng trực tiếp trong mã nguồn, nên kẻ tấn công có thể tính toán một checksum hợp lệ cho một tệp độc hại.

Sau khi bản sao lưu giả mạo được khôi phục, thiết bị sẽ xử lý dữ liệu cấu hình. Cụ thể, nó lấy giá trị múi giờ từ bản sao lưu và thực thi nó như một lệnh shell với đặc quyền root. Bằng cách nhúng một lệnh độc hại vào trường múi giờ của bản sao lưu được tạo thủ công, kẻ tấn công đạt được khả năng thực thi mã từ xa với quyền cao nhất trên thiết bị. Loại lỗ hổng này đặc biệt nguy hiểm đối với các email gateway, vốn nằm ở biên của mạng doanh nghiệp và xử lý lưu lượng truyền thông nhạy cảm.

Tại sao điều này quan trọng

Đối với các đội ngũ tự quản lý hạ tầng, sự cố này làm nổi bật những rủi ro liên quan đến các thiết bị phức tạp, mã nguồn đóng. Việc phụ thuộc vào một secret được hard-code để xác thực checksum đại diện cho một thất bại thiết kế cơ bản. Khi các secret được nhúng trong mã thay vì được quản lý động, bất kỳ bên nào có quyền truy cập vào binary đều có thể dịch ngược chúng. Điều này làm suy yếu các kiểm tra tính toàn vẹn nhằm bảo vệ bản sao lưu cấu hình, biến một tính năng an toàn thành một vector tấn công. Đối với các trưởng nhóm IT, điều này nhấn mạnh tầm quan trọng của việc xem xét kỹ lưỡng cách các nhà cung cấp xử lý các secret mã hóa và quản lý cấu hình.

Hơn nữa, việc kết hợp hai lỗi có mức độ nghiêm trọng trung bình thành một khai thác nghiêm trọng chứng minh tại sao việc kiểm thử bảo mật tổng thể là rất cần thiết. Nếu tách riêng, một lỗi bỏ qua ủy quyền và một lỗi chèn lệnh có thể được đánh giá thấp hơn nếu chúng yêu cầu quyền truy cập một phần. Kết hợp lại, chúng tạo ra một con đường dẫn đến quyền root mà không cần xác thực. Kịch bản này là lời nhắc nhở rằng các đánh giá bảo mật phải xem xét cách các thành phần khác nhau tương tác với nhau. Các đội ngũ chạy phần mềm tự host nên thường xuyên xem xét các khuyến nghị của nhà cung cấp không chỉ cho từng lỗ hổng đơn lẻ, mà còn cho các chuỗi tiềm năng có thể leo thang đặc quyền ngoài dự kiến.

Bạn có thể làm gì

• Nâng cấp ngay lập tức: Áp dụng firmware mới nhất (phiên bản 9.4.0.030 hoặc mới hơn) cho tất cả các Barracuda Email Security Gateways.
• Hạn chế truy cập mạng: Nếu không thể vá lỗi ngay lập tức, hãy giới hạn quyền truy cập vào giao diện quản trị chỉ dành cho các địa chỉ IP nội bộ đáng tin cậy.
• Bật cập nhật tự động: Đảm bảo rằng việc vá lỗi tự động được bật để giảm cửa sổ phơi nhiễm trước các lỗ hổng trong tương lai.
• Chạy công cụ phát hiện: Sử dụng công cụ phát hiện do watchTowr phát hành để xác minh xem thiết bị của bạn có đang bị tổn thương hay không.
• Kiểm toán nhật ký: Xem xét nhật ký hệ thống để tìm các hoạt động khôi phục bản sao lưu bất thường hoặc các nỗ lực thay đổi mật khẩu thất bại từ các IP bên ngoài.
• Theo dõi các khuyến nghị: Đăng ký nhận thông báo bảo mật từ nhà cung cấp và cảnh báo của CISA để luôn cập nhật về các mối đe dọa mới.