Barracuda ESG: contournement d'authentification vers root
Deux failles chaînables donnent root aux passerelles Barracuda, dont un contournement d'authentification noté 9,3. Correctifs disponibles depuis le 2 novembre.
Qui est touché
- Barracuda Email Security Gateway (ESG) antérieure à 9.4.0.030
- Barracuda Load Balancer ADC antérieure à 6.4.0, Web Application Firewall antérieure à 11.0.1
- Barracuda Web Security Gateway antérieure à 16.1.100.100, Message Archiver antérieur à 5.5.4.0, WAF Control Center antérieur à 2.2.1
Comment corriger
Mettre chaque appliance à jour: ESG 9.4.0.030 ou plus, ADC 6.4.0, WAF 11.0.1, WSG 16.1.100.100, Message Archiver 5.5.4.0, WAF Control Center 2.2.1. Restreindre l'accès aux interfaces de gestion CLI et web à un VLAN dédié filtré par firewall, jamais exposé sur l'internet. Activer les correctifs de micrologiciel automatiques chez Barracuda. Relever les journaux d'importation de configuration et de modification du champ fuseau horaire sur les versions non corrigées: ce sont les deux points de passage de la chaîne.
Ce qui se passe
Barracuda et le Centre pour la cybersécurité du Canada ont publié le 2 novembre deux failles dans les appliances Barracuda. CVE-2026-116606 (CVSS v4.0: 9,3) permet à un attaquant distant sans identifiants d'invoquer la fonction d'importation de configuration de la passerelle de messagerie ESG et d'y restaurer une archive de sauvegarde construite pour l'occasion, ce qui modifie la configuration globale de l'appliance. CVE-2026-111560 (8,6) est une injection de commandes système dans le champ de configuration du fuseau horaire: exécutée par un administrateur authentifié, elle s'exécute en root. Barracuda indique qu'enchaînées, les deux permettent de contourner les contrôles d'autorisation puis d'obtenir root, à condition d'avoir accès à l'interface d'administration. Aucune exploitation n'est signalée, et aucune des deux n'est au catalogue KEV de la CISA au 2 novembre.
Pourquoi c'est grave pour un hôtel
La passerelle de messagerie est le filtre anti-hameçonnage du front desk, des réservations et de la comptabilité: c'est la couche qui intercepte les faux avis clients, les fausses demandes de devis et les virements frauduleux. Un attaquant qui prend le contrôle de cette couche lit le courrier avant vos équipes, neutralise le filtrage à la source et dispose d'un pied dans le réseau interne, souvent à deux bonds du PMS. Les ESG sont de plus fréquemment administrées à distance, parfois exposées.
Qui est touché
Six gammes, selon la matrice de l'avis canadien AV26-1112: Email Security Gateway avant 9.4.0.030, Load Balancer ADC avant 6.4.0, Web Application Firewall avant 11.0.1, Web Security Gateway avant 16.1.100.100, Message Archiver avant 5.5.4.0, WAF Control Center avant 2.2.1. Le contournement d'authentification ne touche que l'ESG; l'injection de commandes concerne les six gammes, qui partagent le même code.
Comment corriger
- Mettre chaque appliance à la version corrigée listée ci-dessus et vérifier la version installée, pas seulement la date du dernier redémarrage.
- Basculer les interfaces de gestion CLI et web dans un VLAN dédié, accessible uniquement depuis une plage d'administration filtrée au firewall; couper toute exposition directe sur l'internet.
- Activer la livraison automatique des correctifs de micrologiciel dans la console de gestion de l'appliance.
- Sur les versions non corrigées, auditer les journaux d'importation de configuration et de modification du fuseau horaire, et considérer toute exposition prolongée de l'interface d'administration comme un incident potentiel.
Contexte
La chaîne suppose d'atteindre l'interface d'administration: l'isolement réseau de cette interface reste la contre-mesure qui tient avant même le correctif. Le volet importation de configuration est le plus inquiétant, car il ne requiert aucun compte. Les établissements hébergés (appliance gérée par un prestataire) doivent obtenir de celui-ci une confirmation écrite de la version déployée.