Barracuda Email Security Gateway tizimida kritik zaifliklar aniqlandi: tajovuzkorlar qurilmani töliq nazoratga olişi mumkin!
Barracuda kompaniyasi özining Email Security Gateway (ESG) mahsulotida ikkita jiddiy xavfsizlik zaifligi aniqlangani va ulardan amaliy hujumlarda foydalanilayotgani haqida maʼlum qildi.
2026-yil 9-noyabr kuni kompaniya xavfsizlik ogohlantirişini yangilab, aniqlangan zaifliklardan foydalaniş holatlari ayrim taşkilotlarda kuzatilganini tasdiqladi. Mazkur zaifliklardan birgalikda foydalaniş orqali tajovuzkorlar tizimga login va parol kiritmasdan kirişi hamda qurilmada eng yuqori — root huquqlari bilan buyruqlarni bajarişi mumkin.
Zaifliklar CVE-2026-116606 va CVE-2026-111560 identifikatorlari bilan röyxatga olingan. Ularning xavflilik darajasi CVSS tizimi böyiça mos ravişda 9.3 va 8.6 ball bilan baholangan.
Barracuda maʼlumotlariga köra, uşbu hujumlarni amalga oşiriş uçun qurilmaning administrator boşqaruv interfeysiga tarmoq orqali kiriş imkoniyati mavjud bölişi kerak. Şu sababli boşqaruv interfeysi internet tarmoğiga oçiq bölgan qurilmalar alohida xavf ostida hisoblanadi.
Aniqlangan zaifliklar va ularning xavfi
- CVE-2026-116606 — Autentifikatsiyani çetlab ötiş (CVSS: 9.3)
Mazkur zaiflik Barracuda Email Security Gateway mahsulotining avtorizatsiya mexanizmida aniqlangan.
Uşbu zaiflik orqali tajovuzkor tizimga login va parol kiritmasdan, administrator interfeysining ayrim funksiyalaridan foydalanişi mumkin. Buning uçun qurilmaning boşqaruv interfeysiga tarmoq orqali ulaniş imkoniyati bölişi talab etiladi.
Natijada tajovuzkor administrator tomonidan bajarilişi kerak bölgan ayrim amallarni ruxsatsiz amalga oşirişi va qurilma konfiguratsiyasiga özgartiriş kiritişi mumkin.
Muhim jihati şundaki, Barracuda dastlabki ogohlantirişida uşbu zaiflikdan foydalaniş uçun administrator huquqlari talab etilişini körsatgan. Biroq 2026-yil 5-noyabr kuni ogohlantirişga tuzatiş kiritilib, login va parol talab qilinmasligi, faqat administrator boşqaruv interfeysiga kiriş imkoniyati zarurligi aniqlaştirilgan.
- CVE-2026-111560 — Buyruqlarni kiritiş (Command Injection) (CVSS: 8.6)
Ikkinçi zaiflik tizim tomonidan qayta işlanadigan maʼlumotlar orqali operatsion tizim buyruqlarini ruxsatsiz kiritiş imkoniyati bilan boğliq.
Mazkur zaiflikdan mustaqil foydalaniş uçun administrator huquqlari talab etiladi. Agar tajovuzkor uşbu imkoniyatga ega bölsa, maxsus şakllantirilgan maʼlumotlar orqali qurilmada operatsion tizim buyruqlarini bajarişi mumkin.
Zaiflikning eng xavfli jihati şundaki, buyruqlar yuqori darajadagi — root huquqlari bilan bajarilişi mumkin. Root Linux va Unix turidagi operatsion tizimlarda tizim ustidan deyarli töliq boşqaruv vakolatini beruvçi eng yuqori huquq hisoblanadi.
Ikkita zaiflikdan birgalikda foydalaniş qanday xavf tuğdiradi?
Mazkur zaifliklarning asosiy xavfi şundaki, ulardan birgalikda foydalaniş orqali administrator autentifikatsiyasini çetlab ötiş va qurilmani töliq nazoratga oliş mumkin.
Birinçi zaiflik (CVE-2026-116606) orqali tajovuzkor login va parolsiz administrator interfeysining himoyalangan funksiyalaridan foydalaniş imkoniyatiga ega böladi.
Ikkinçi zaiflik (CVE-2026-111560) esa qurilmada operatsion tizim buyruqlarini root huquqlari bilan bajariş imkonini beradi.
Şunday qilib, uşbu ikki zaiflikdan birgalikda foydalaniş natijasida tajovuzkor qurilmani yuqori darajadagi huquqlar bilan boşqarişi mumkin.
Buning oqibatida:
- qurilma konfiguratsiyasiga ruxsatsiz özgartirişlar kiritilişi;
- elektron poçta xabarlari va ularga tegişli maʼlumotlarga noqonuniy kirilişi;
- qurilmada zararli dasturlar yoki qöşimça vositalar işga tuşirilişi;
- tizim faoliyati buzilişi yoki uning işlaşi töxtatilişi;
- qurilma orqali qayta işlanadigan maʼlumotlar xavfsizligiga tahdid yuzaga kelişi mumkin.
Şuni taʼkidlaş kerakki, Barracuda hozirça kuzatilgan hujumlarda aynan qaysi zaiflikdan foydalanilgani, hujumçilar kimligi va zararlangan taşkilotlar soni haqida batafsil maʼlumot bermagan.
Qaysi Barracuda mahsulotlari zaiflikdan taʼsirlangan?
Barracuda eʼlon qilgan maʼlumotlarga köra, CVE-2026-116606 zaifligi faqat Email Security Gateway (ESG) mahsulotiga taalluqli.
CVE-2026-111560 zaifligi esa quyidagi mahsulotlarda aniqlangan:
- Email Security Gateway (ESG);
- Load Balancer Application Delivery Controller (ADC);
- Message Archiver (BMA);
- WAF Control Center (WCC);
- Web Application Firewall (WAF);
- Web Security Gateway (WSG).
Bunda ikkala zaiflik birgalikda faqat Email Security Gateway mahsulotida mavjud. Qolgan mahsulotlarda esa CVE-2026-111560 zaifligi alohida xavf tuğdiradi.
Demak, boşqa Barracuda mahsulotlaridan foydalanayotgan taşkilotlar ham tegişli xavfsizlik yangilanişlarini örnatişi lozim.
Zaifliklarni bartaraf etiş böyiça tavsiyalar
Barracuda kompaniyasi aniqlangan zaifliklarni bartaraf etiş uçun xavfsizlik yangilanişlarini taqdim etgan.
Taşkilotlar va tizim administratorlariga quyidagi çoralarni köriş tavsiya etiladi:
- Xavfsizlik yangilanişlarini örnatiş.
Foydalanilayotgan Barracuda mahsulotining turini va dasturiy taʼminot versiyasini aniqlaş hamda quyidagi xavfsizlik yangilanişlarini örnatiş lozim:
| Mahsulot | Örnatilişi lozim bölgan yangilaniş |
|---|---|
| Email Security Gateway (ESG), 9.4.017 va undan keyingi versiyalar | BNSF-40425 |
| Email Security Gateway (ESG), 9.4.017 dan oldingi versiyalar | BNSF-40430 |
| Load Balancer ADC | BNADC-16586 |
| Message Archiver | BNMA-32468 |
| WAF Control Center | BNWF-60060 |
| Web Application Firewall | BNADC-16586 |
| Web Security Gateway | BNYF-24789 |
Administrator interfeysiga kirişni çeklaş.
Barracuda qurilmalarining administrator boşqaruv interfeysini internet tarmoğidan töğridan-töğri foydalaniş imkoniyatini çeklaş lozim. Unga faqat işonçli içki tarmoq yoki himoyalangan VPN orqali ulanişga ruxsat beriş tavsiya etiladi.
- Avtomatik yangilanişlarni yoqiş.
Qurilmalarda avtomatik xavfsizlik yangilanişlari öçirilgan bölsa, uşbu funksiyani qayta yoqiş kerak. Avtomatik tarzda örnatilmagan yangilanişlarni esa qölda örnatiş lozim.
- Qurilmalardagi şubhali faoliyatni tekşiriş.
Administrator boşqaruv interfeysiga amalga oşirilgan ulanişlar, konfiguratsiyadagi özgarişlar va tizim jurnallarini tekşiriş zarur. Ayniqsa, nomaʼlum manzillardan amalga oşirilgan ulanişlar hamda ruxsatsiz boşqaruv amallariga eʼtibor qaratiş lozim.
- Qurilma xavfsizligini qayta baholaş.
Agar boşqaruv interfeysi internet tarmoğidan oçiq bölgan va qurilmada zaifliklar mavjud bölgan bölsa, xavfsizlik yangilanişlarini örnatiş bilan çeklanmasdan, qurilmada ruxsatsiz kiriş yoki konfiguratsiya özgarişlari kuzatilgan-kuzatilmaganini ham tekşiriş tavsiya etiladi.
Barracuda Email Security Gateway mahsulotida aniqlangan mazkur zaifliklar elektron poçta infratuzilmasi xavfsizligi uçun jiddiy tahdid hisoblanadi. Ayniqsa, ikki zaiflikdan birgalikda foydalaniş orqali autentifikatsiyani çetlab ötiş va qurilmani root huquqlari bilan töliq nazoratga oliş imkoniyati mavjudligi ularning xavfliligini yanada oşiradi.
Barracuda kompaniyasi uşbu zaifliklardan foydalanişga qaratilgan hujumlar ayrim taşkilotlarda kuzatilganini tasdiqlagan. Şu sababli Barracuda mahsulotlaridan foydalanuvçi taşkilotlarga qurilmalarning dasturiy taʼminot versiyalarini zudlik bilan tekşiriş, tegişli xavfsizlik yangilanişlarini örnatiş va administrator interfeyslariga taşqi tarmoqdan kiriş imkoniyatini çeklaş tavsiya etiladi.
