Barracuda - CVE-2026-116606
Date de publication :
Il s’agit d’une vulnérabilité dans la fonction d’import de configuration de l’appliance Barracuda ESG.
Barracuda Email Security Gateway (ESG) est une passerelle de sécurité de la messagerie, disponible en appliance physique ou virtuelle, qui protège le serveur de messagerie contre le spam, les virus, l’hameçonnage et les logiciels espions.
Cette fonction peut être invoquée sans authentification préalable. L’attaquant doit toutefois pouvoir joindre l’interface d’administration de l’équipement. Il restaure une archive de sauvegarde forgée mais compatible. Aucune interaction d’un utilisateur n’est nécessaire. Seul ESG est concerné par cette CVE. Barracuda indique qu’associée à la CVE-2026-111560 (injection de commandes), elle peut conduire à un accès root sur l’appareil.
Elle permet à un attaquant distant non authentifié de contourner les contrôles d’autorisation et de modifier la configuration globale de l’appliance.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données
Exploitation
CWE-288 : Authentication Bypass Using an Alternate Path or Channel
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Barracuda Email Security Gateway (ESG) versions antérieures à 9.4.0.030
Contournement provisoire
• Limiter l’exposition de ces interfaces par des contrôles d’accès réseau
Solutions ou recommandations
• Patch BNSF-40425 pour les versions 9.4.017 et supérieures
• Patch BNSF-40430 pour les versions antérieures à 9.4.017