image

Zeroday in Barracuda Email Security Gateway sinds oktober 2022 misbruikt

woensdag 31 mei 2023, 10:28 door Redactie, 1 reacties

Een zerodaylek in de Barracuda Email Security Gateway is zeker sinds oktober 2022 misbruikt voor het stelen van data bij organisaties, zo heeft de netwerkbeveiliger zelf bekendgemaakt. Die waarschuwt klanten om gecompromitteerde gateways niet te gebruiken en met de klantensupport contact op te nemen voor een nieuwe gateway.

Vorige week kwam Barrucada met een beveiligingsupdate voor de kwetsbaarheid, die via malafide .tar-bestanden is te misbruiken. De Email Security Gateway is een product dat e-mailverkeer op malware, phishing en andere zaken controleert. Het beveiligingslek (CVE-2023-2868) bevindt zich in een module die bijlagen van inkomende e-mail scant.

Een aanvaller kan door het versturen van een speciaal geprepareerd .tar-bestand systeemcommando's op de gateway uitvoeren en zo een backdoor installeren. Het probleem wordt veroorzaakt doordat de gateway onvoldoende invoervalidatie uitvoert. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.4.

In een update over het zerodaylek laat Barracuda weten dat het de kwetsbaarheid op 19 mei ontdekte, nadat het een dag eerder voor verdacht verkeer van een gateway was gewaarschuwd. Verder onderzoek wees uit dat er sinds oktober 2022 misbruik van het lek is gemaakt om toegang tot gateways van klanten te krijgen. Daar installeerden de aanvallers allerlei malware om e-mailverkeer te monitoren en toegang te behouden.

Het gaat onder andere om een getrojaniseerde module, die door Barracuda Saltwater wordt genoemd, en als een backdoor fungeert waardoor het voor aanvallers mogelijk is om willekeurige bestanden te up- en downloaden, commando's uit te voeren of de gateway als proxy te gebruiken. Daarnaast installeerden de aanvallers ook een andere backdoor genaamd SeaSpy die zich als legitieme Barracuda Networks service voordoet en verkeer op poort 25 (SMTP) kan monitoren.

Een tweede malafide module die de aanvallers installeerden, met de naam SeaSide, monitort SMTP-commando's en is te gebruiken voor het opzettten van een reverse shell. Barracuda adviseert klanten om gecompromitteerde gateways niet meer te gebruiken en alle inloggegevens voor de gateway te vervangen, wat ook geldt voor private TLS-certificaten. Tevens moeten klanten hun logbestanden op Indicators of Compromise controleren.

Reacties (1)
31-05-2023, 11:56 door Anoniem
Oef.
Zo'n beetje hetzelfde als de virus binnenkrijgen via je virusscanner... :/
Dat is geen goede zaak voor hun.

Wel bijzonder dat dit zo lang onopgemerkt kon blijven.
Je zou zeggen dat ze deze systemen actief scannen op plots geactiveerde malware of zo...
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.