将授权绕过与命令注入两个漏洞串联利用，攻击者便可获得Barracuda设备的root权限。
提供多种网络安全设备的Barracuda公司，自身也遭遇了安全漏洞的困扰。
该公司披露了两个漏洞，分别为严重级别和高危级别，一旦被串联利用，威胁行为者便可绕过授权控制，进而获得设备的root权限。
Barracuda已发布安全补丁，并建议客户立即进行修补。
该漏洞影响多款热门Barracuda产品
Dickson Research公司的Frank Dickson表示，邮件网关的root访问权限意味着攻击者站在了所有进出邮件流经的节点上。这还可能暴露网关用于连接邮件服务器和目录服务的凭证和连接信息。他说："可以说，这就是通往整个王国的钥匙。"
该公司建议，使用这些产品的客户应确认其系统运行的是最新固件版本，并已获取所有安全补丁。设备会显示可用的最新固件版本；如果设备固件版本落后多个版本，用户可能需要执行多次更新。
Barracuda表示，如果企业设备的管理界面未对外公开暴露在网络上，其面临的风险相对较低；该公司建议将这些界面的访问权限限制在可信的内部网络中，并应用适当的网络访问控制措施以降低暴露风险。
Infotech首席顾问总监Jon Nelson表示："最大的担忧在于这两个漏洞如何能够被串联利用。"他指出，攻击者如果能先绕过身份验证，再利用命令注入漏洞，就可以从仅能访问暴露的设备，发展到在设备上执行命令。他说："孤立评估每个漏洞可能会低估实际风险。"
Dickson补充说，安全团队负责人应仔细阅读该公告，因为公告中将一个漏洞称为"预授权"，但随后又列出"需要身份验证：是，需要管理员权限"。
他指出："通常情况下，这两者不可能同时成立。"这里所说的访问权限，很可能是指能够在无需密码的情况下通过网络访问管理界面。
Dickson说："如果你的管理界面暴露在互联网上，那么这个条件实际上已经满足了。"
他还指出，该公告将9.3的严重性评分标注为"高危"，而在标准评分体系中，9.0及以上实际上应属于"严重"级别。他说："这些看似细节的问题，实际上会影响补丁修复的优先级排序。"此外，该公告并未说明这些漏洞目前是否已被利用，但也没有明确说明未被利用。
企业应如何应对
Dickson强调："让管理界面脱离互联网。"作为网络安全顾问，他说自己每周至少会给出这条建议好几次。他指出："边缘设备上的管理界面始终是漏洞的重要来源。"
Dickson建议，团队一旦将管理访问权限限制在可信的内部网络或专用管理网络中，接下来应该"验证补丁是否生效，而不是想当然地以为已经正确安装"。他说，然后要通过审查管理日志来排查未经授权的访问者，检查是否存在陌生账户，并留意设备发出的异常出站连接。
他补充说，历史经验值得借鉴。2023年，这款同样的邮件安全网关（ESG）曾出现零日漏洞，当时Barracuda建议受感染设备的客户直接更换设备，而非仅仅依赖补丁修复。正如他所说："补丁修复的是锁，但它不会告诉你谁已经拿到了钥匙。"
Nelson同样认为，企业应仔细审视谁能够访问其管理界面。此外，他们还应将访问权限置于额外的控制措施之后，例如配置得当的零信任访问层。
他说："将这些接口直接暴露在互联网上，从来都不是个好主意。随着AI让发现漏洞和串联攻击变得更加容易，这种暴露风险将越来越难以被正当化。"AI还在扩大软件漏洞的搜索范围，使其涵盖诸如业务逻辑缺陷等问题——即应用程序可能被诱导绕过其预期的控制机制。Nelson表示，在这种背景下，身份验证和授权绕过问题尤其值得关注。
了解每台设备暴露的风险
安全设备正日益成为企业网络中漏洞的来源，这正在改变网络安全领域的讨论方向。企业依赖这些设备来保护网络，但归根结底，它们本身也是存在漏洞的软件系统。
Dickson指出："它们恰好处在攻击者最想到达的位置。"
他说，防火墙、VPN和邮件网关按设计就要面向互联网，这是它们的职责所在。它们能够看到敏感流量，并持有凭证信息。大多数此类设备无法运行保护笔记本电脑和服务器的终端检测工具，因此一旦被攻破，可能长期不被发觉；而且每个客户使用的都是相同的固件，这意味着一个有效的漏洞利用方式可以扩展到数千家企业。
Dickson表示："讨论的焦点正在从'应该购买哪个设备'转向'这个设备本身会暴露哪些风险'。每一次设备采购，本质上都是在网络最暴露的节点上，决定是否信任供应商的代码。"他指出，这应该受到与企业中其他任何环节同等严格的审查。
他建议，买家应向供应商提出四个问题：管理界面是否默认暴露在互联网上；补丁发布的速度有多快；补丁是否自动应用；以及用户能够查看哪些日志记录？
Dickson指出："安全设备不仅仅是在保护网络边界，它本身就是网络边界，应该被视为组织中最容易遭受攻击的系统，因为事实确实如此。"
本文最初发表于CSOonline。
