Een zerodaylek in de Barracuda Email Security Gateway is zeker sinds oktober 2022 misbruikt voor het stelen van data bij organisaties, zo heeft de netwerkbeveiliger zelf bekendgemaakt. Die waarschuwt klanten om gecompromitteerde gateways niet te gebruiken en met de klantensupport contact op te nemen voor een nieuwe gateway.

Vorige week kwam Barrucada met een beveiligingsupdate voor de kwetsbaarheid, die via malafide .tar-bestanden is te misbruiken. De Email Security Gateway is een product dat e-mailverkeer op malware, phishing en andere zaken controleert. Het beveiligingslek (CVE-2023-2868) bevindt zich in een module die bijlagen van inkomende e-mail scant.

Een aanvaller kan door het versturen van een speciaal geprepareerd .tar-bestand systeemcommando's op de gateway uitvoeren en zo een backdoor installeren. Het probleem wordt veroorzaakt doordat de gateway onvoldoende invoervalidatie uitvoert. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.4.

In een update over het zerodaylek laat Barracuda weten dat het de kwetsbaarheid op 19 mei ontdekte, nadat het een dag eerder voor verdacht verkeer van een gateway was gewaarschuwd. Verder onderzoek wees uit dat er sinds oktober 2022 misbruik van het lek is gemaakt om toegang tot gateways van klanten te krijgen. Daar installeerden de aanvallers allerlei malware om e-mailverkeer te monitoren en toegang te behouden.

Het gaat onder andere om een getrojaniseerde module, die door Barracuda Saltwater wordt genoemd, en als een backdoor fungeert waardoor het voor aanvallers mogelijk is om willekeurige bestanden te up- en downloaden, commando's uit te voeren of de gateway als proxy te gebruiken. Daarnaast installeerden de aanvallers ook een andere backdoor genaamd SeaSpy die zich als legitieme Barracuda Networks service voordoet en verkeer op poort 25 (SMTP) kan monitoren.

Een tweede malafide module die de aanvallers installeerden, met de naam SeaSide, monitort SMTP-commando's en is te gebruiken voor het opzettten van een reverse shell. Barracuda adviseert klanten om gecompromitteerde gateways niet meer te gebruiken en alle inloggegevens voor de gateway te vervangen, wat ook geldt voor private TLS-certificaten. Tevens moeten klanten hun logbestanden op Indicators of Compromise controleren.