CVE-2023-2868
Barracuda Networks ESG Appliance Improper Input Validation Vulnerability
Beschreibung
CVE-2023-2868 ist eine kritische Command-Injection-Schwachstelle im Barracuda Email Security Gateway (ESG) in der Appliance-Variante, die Versionen 5.1.3.001 bis 9.2.0.006 betrifft. Die Sicherheitslücke entsteht durch eine unzureichende Eingabevalidierung bei der Verarbeitung von .tar-Archivdateien, wobei speziell formatierte Dateinamen innerhalb des Archivs genutzt werden können, um über Perls qx-Operator Systembefehle auszuführen. Ein nicht authentifizierter Angreifer kann diese Schwachstelle aus der Ferne ausnutzen, um vollständige Kontrolle über das Barracuda ESG zu erlangen. Die CISA hat CVE-2023-2868 im KEV-Katalog gelistet, und der EPSS-Score von 89,5 % bestätigt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:LIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| barracuda | email security gateway 300 firmware | >= 5.1.3.001, <= 9.2.0.006 |
| barracuda | email security gateway 400 firmware | >= 5.1.3.001, <= 9.2.0.006 |
| barracuda | email security gateway 600 firmware | >= 5.1.3.001, <= 9.2.0.006 |
| barracuda | email security gateway 800 firmware | >= 5.1.3.001, <= 9.2.0.006 |
| barracuda | email security gateway 900 firmware | >= 5.1.3.001, <= 9.2.0.006 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://status.barracuda.com/incidents/34kx82j5n4q9(Vendor Advisory)
- https://www.barracuda.com/company/legal/esg-vulnerability(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-2868(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
Beim Barracuda Email Security Gateway werden die Dateinamen innerhalb hochgeladener .tar-Archive nicht ausreichend validiert. Diese unzureichende Eingabevalidierung ermöglicht es Angreifern, speziell formatierte Dateinamen einzuschleusen, die bei der Verarbeitung als Befehle interpretiert werden.
Mehr erfahren: CWE-20 — Improper Input Validation
CWE-77: Command Injection
Die fehlende Bereinigung der Dateinamen in .tar-Archiven führt dazu, dass Benutzereingaben direkt an Perls qx-Operator weitergegeben werden, der diese als Systembefehle ausführt. Im Kontext des Barracuda ESG ermöglicht dies die Ausführung beliebiger Befehle mit den Rechten des Gateway-Prozesses.
Mehr erfahren: CWE-77 — Command Injection
Auswirkungsanalyse
CVE-2023-2868 erreicht mit einem CVSS-Score von 9.4 eine kritische Einstufung. Die Schwachstelle ist über das Netzwerk ausnutzbar ohne physischen Zugang, die Angriffskomplexität ist gering und es sind keine Authentifizierung oder Benutzerinteraktion erforderlich. Vertraulichkeit (hoch): Ein Angreifer kann auf alle über das Email Security Gateway verarbeiteten E-Mails, Anhänge und Konfigurationsdaten zugreifen, einschließlich potenziell sensibler Geschäftskommunikation. Integrität (hoch): Die vollständige Befehlsausführung ermöglicht das Manipulieren von E-Mail-Filtern, das Einschleusen von Backdoors und die Veränderung der Gateway-Konfiguration. Verfügbarkeit (gering): Die Auswirkungen auf die Verfügbarkeit sind begrenzt, jedoch kann der E-Mail-Durchsatz beeinträchtigt werden. Der EPSS-Score von 89,5 % unterstreicht die sehr hohe Wahrscheinlichkeit aktiver Ausnutzung dieser Barracuda-Schwachstelle.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2023-2868 in freier Wildbahn bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 16. Juni 2023 in den KEV-Katalog aufgenommen. Der EPSS-Score von 89,5 % (99,54. Perzentil) weist auf eine sehr hohe Ausnutzungsaktivität hin. Obwohl in den Referenzen kein öffentlicher Exploit-Code direkt verlinkt ist, hat Barracuda ein spezielles Advisory veröffentlicht und den Patch BNSF-36456 automatisch an alle Kundenappliances verteilt, was auf die Dringlichkeit und Schwere der aktiven Ausnutzung hinweist.
Behebung
- Herstelleranweisungen befolgen: Gemäß CISA-KEV-Vorgabe Maßnahmen laut Barracuda-Herstelleranweisungen umsetzen oder das Produkt außer Betrieb nehmen. Die Behebungsfrist war der 16. Juni 2023. Barracuda hat den Patch BNSF-36456 automatisch an alle Kundenappliances verteilt.
- Patch-Status prüfen: Sicherstellen, dass der Patch BNSF-36456 auf allen Barracuda ESG-Appliances (Modelle 300, 400, 600, 800, 900) erfolgreich angewendet wurde. Firmware-Versionen 5.1.3.001 bis 9.2.0.006 sind betroffen.
- Netzwerkzugang einschränken: Den Zugriff auf die Barracuda ESG-Appliance durch Netzwerksegmentierung und Firewall-Regeln auf autorisierte E-Mail-Server und Administratoren beschränken. Eingehende E-Mails mit .tar-Anhängen besonders überwachen.
- IOC-Prüfung durchführen: System-Logs auf verdächtige Prozessausführungen, ungewöhnliche Netzwerkverbindungen und Änderungen an der Gateway-Konfiguration prüfen. Barracudas Sicherheitshinweise auf dem Statusportal verfolgen.
- Eingabevalidierung härten: Langfristig sicherstellen, dass alle Datei-Upload-Funktionen eine strikte Validierung von Dateinamen und Archiveinhalten implementieren und keine unkontrollierten Eingaben an Shell-Kommandos übergeben werden.
Technische Details
CVE-2023-2868 kombiniert zwei Schwachstellentypen: unzureichende Eingabevalidierung (CWE-20) und Command Injection (CWE-77). Die Schwachstelle befindet sich in der Verarbeitungsroutine für .tar-Archive des Barracuda Email Security Gateway. Dateinamen innerhalb eines .tar-Archivs werden nicht ausreichend bereinigt, bevor sie an Perls qx-Operator weitergegeben werden, der Shell-Befehle ausführt. Ein Angreifer kann durch gezieltes Formatieren der Dateinamen im Archiv beliebige Systembefehle mit den Rechten des ESG-Prozesses einschleusen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L zeigt, dass der Angriff netzwerkbasiert ohne Authentifizierung oder Benutzerinteraktion möglich ist, wobei insbesondere die Vertraulichkeit und Integrität des Systems vollständig kompromittiert werden können.
Häufig gestellte Fragen
Wird CVE-2023-2868 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-2868 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 89,5 % (99,54. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Ein Zusammenhang mit Ransomware ist derzeit nicht bestätigt.
Welche Produkte sind von CVE-2023-2868 betroffen?
Betroffen ist das Barracuda Email Security Gateway in der Appliance-Variante in den Modellen 300, 400, 600, 800 und 900 mit Firmware-Versionen 5.1.3.001 bis 9.2.0.006. Virtuelle oder Cloud-basierte Bereitstellungen sind nicht betroffen.
Wie behebe ich CVE-2023-2868?
Barracuda hat den Patch BNSF-36456 automatisch an alle Kundenappliances verteilt. Prüfen Sie, ob der Patch erfolgreich angewendet wurde, und schränken Sie den Netzwerkzugang zur Appliance ein. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-2868?
Mit einem CVSS-Score von 9.4 von 10 wird CVE-2023-2868 als kritisch eingestuft. Die Schwachstelle ermöglicht unauthentifizierte Remote-Command-Execution über speziell präparierte .tar-Archive. Der EPSS-Score im 99,54. Perzentil bedeutet, dass diese Schwachstelle aktiver ausgenutzt wird als über 99 % aller bekannten Sicherheitslücken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.