Barracuda ESG di nuovo nel mirino: due CVE concatenabili per RCE root pre-autenticazione

L'Email Security Gateway di Barracuda torna a occupare i ricercatori di sicurezza. Il 5 novembre, watchTowr Labs ha pubblicato l'analisi tecnica di due vulnerabilità — CVE-2026-116606 e CVE-2026-111560 — che, concatenate, permettono l'esecuzione remota di codice come root senza alcuna credenziale. La catena colpisce le appliance posizionate al perimetro di rete, le stesse che nel 2023 furono compromesse da UNC4841 con CVE-2023-2868, evento che costrinse il vendor alla sostituzione fisica dell'hardware.

Il difetto logico che apre il gateway

Il nucleo di CVE-2026-116606 risiede in un errore di flusso nel file Index.pm del codice Perl di Barracuda ESG. Quando una richiesta di cambio password fallisce con il codice ERROR_PASSWD_CHANGE, il metodo non termina l'esecuzione con bailout() — la pratica corretta per un errore critico — ma restituisce invece l'oggetto $userrole. Questo permette al metodo response() di continuare l'elaborazione e invocare i gestori di modulo protetti.

Il payload dimostrativo è elementare: una POST HTTP a /cgi-mod/index.cgi con parametri user=admin&new_password=one&retype_password=two — password non corrispondenti che garantiscono il fallimento — produce risposta HTTP 200 con JSON contenente success:true. Non servono credenziali valide. L'oggetto ruolo restituito basta a superare il controllo di autorizzazione.

"Send the error and stop here. Returning a userrole would let response() run module handlers." — Commento nel codice patch di Barracuda, citato da watchTowr Labs

Dal ruolo valido alla shell di root

Con l'autenticazione aggirata, l'attaccante accede a funzionalità amministrative tra cui la gestione del timezone di sistema. Qui interviene CVE-2026-111560: nel file Backup2.pm, il codice pre-patch esegue un comando shell tramite backtick per sostituire la riga TZ nel file di configurazione. La variabile $system_timezone è controllabile dall'utente e viene interpolata direttamente nella stringa di comando senza validazione.

La patch sostituisce l'esecuzione shell con codice Perl nativo che verifica il path del timezone contro /usr/share/zoneinfo/ prima dell'uso. La modifica conferma la natura del difetto: non si tratta di una complicata catena di gadget, ma di una classica command injection con parametri utente passati a /bin/sh -c.

L'effetto combinato è una catena di exploit completa: il bypass pre-autenticazione fornisce la sessione, la command injection ne sfrutta i privilegi. Il risultato è esecuzione remota di codice come root sulla appliance di perimetro.

I numeri dello scoring e la discrepanza nel codice

WatchTowr Labs assegna CVE-2026-116606 un CVSS 9.3 Critical e CVE-2026-111560 un CVSS 8.6 High. Entrambe le vulnerabilità sono indicate come corrette nella versione 9.4.0.029. Nel codice patch, tuttavia, compare un riferimento a CVSS 9.8 Critical che, secondo l'analisi di watchTowr, "probabilmente riflette entrambe le vulnerabilità scoring insieme". Il ricercatore aggiunge, con ironia tecnica: "gli esperti CVSS riconosceranno rapidamente questo come un crimine", riferendosi alla pratica di combinare score separati in un unico valore non standard.

Non emergono nei dati disponibili CVSS ufficiali dal National Vulnerability Database o da advisory vendor per le singole CVE. I numeri riportati provengono esclusivamente dall'analisi di watchTowr Labs.

Il fantasma di CVE-2023-2868 e il confronto con il passato

La pubblicazione riattiva memorie recenti. Nel 2023, CVE-2023-2868 (CVSS 9.4 Critical) fu sfruttato dal gruppo UNC4841, identificato da Mandiant, per compromettere le appliance Barracuda ESG con un zero-day di iniezione di formato. La gravità dell'incidente costrinse Barracuda a una risposta senza precedenti: la sostituzione fisica delle appliance compromesse, non limitandosi a patch software.

Le condizioni operative sono identiche. Barracuda ESG è tipicamente esposto direttamente a Internet per la gestione del traffico email. La superficie d'attacco è massima: un gateway di perimetro con interfacce amministrative raggiungibili dalla rete esterna. Nel 2023 questa esposizione permise agli APT di stabilire persistenza a lungo termine; nel 2026 la catena documentata da watchTowr non richiede nemmeno la complessità di un zero-day sofisticato.

La differenza cruciale è nella risposta del vendor. Nel 2023 la compromissione era ritenuta così profonda da rendere inaffidabile il patching; nel 2026 la versione 9.4.0.029 distribuisce la correzione via software. Se questa confidenza rifletta una diversa profondità dell'attacco o una maggiore maturità del processo di risposta non è determinabile dai dati disponibili.

Cosa fare adesso

Gli amministratori di Barracuda ESG devono verificare la versione installata e pianificare l'aggiornamento a 9.4.0.029 senza attendere cicli di manutenzione ordinari. La criticità del CVSS 9.3 e la natura pre-autenticazione dell'exploit rendono ogni giorno di ritardo un rischio calcolato.

Per CVE-2026-111560, l'elenco dei prodotti affetti è più ampio: oltre all'ESG, il Load Balancer ADC, il Message Archiver, il WAF Control Center, la Web Application Firewall e il Web Security Gateway richiedono tutti la stessa versione 9.4.0.029. Gli operatori di queste appliance devono consultare l'advisory Barracuda per confermare la propria esposizione.

Le organizzazioni che non possono applicare immediatamente la patch devono valutare la segmentazione dell'accesso alle interfacce amministrative, limitando la raggiungibilità di /cgi-mod/index.cgi a indirizzi IP autorizzati. Questa misura non elimina il rischio ma aumenta il costo dell'attacco.

È consigliabile inoltre monitorare i log per richieste POST anomale a /cgi-mod/index.cgi con parametri di cambio password e per esecuzioni di processi shell da parte dei servizi web dell'appliance. La presenza di entrambi i pattern suggerisce tentativi di replicazione della catena documentata.

Domande frequenti

Quanti prodotti Barracuda sono effettivamente a rischio?

CVE-2026-116606 interessa specificamente Barracuda Email Security Gateway. CVE-2026-111560, secondo la tabella advisory riportata da watchTowr Labs, coinvolge sei prodotti: oltre all'ESG, il Load Balancer ADC, il Message Archiver, il WAF Control Center, la Web Application Firewall e il Web Security Gateway. Non tutti i prodotti sono vulnerabili a entrambe le CVE.

Il CVSS 9.8 nel codice patch è quello ufficiale?

No. WatchTowr Labs ipotizza che il riferimento a CVSS 9.8 nel codice patch rifletta uno scoring combinato delle due vulnerabilità, non il punteggio ufficiale di una singola CVE. I CVSS confermati per le singole vulnerabilità sono 9.3 per CVE-2026-116606 e 8.6 per CVE-2026-111560, secondo la stessa fonte.

È necessaria la sostituzione fisica dell'hardware come nel 2023?

Il dossier non documenta alcuna raccomandazione di sostituzione fisica per questo incidente. La correzione avviene tramite aggiornamento alla versione 9.4.0.029. La sostituzione hardware fu specifica di CVE-2023-2868, dove la compromissione dei dispositivi fu giudicata così profonda da rendere inaffidabile qualsiasi remediation software.

Fonti

• labs.watchtowr.com