Vulnerabilitatea zero-day este identificată sub numele CVE-2023-2868 și a fost descrisă ca o vulnerabilitate de injectare de cod la distanță care afectează versiunile 5.1.3.001 până la 9.2.0.006 ale ESG.
Compania cu sediul în California a declarat că problema are la bază un component care analizează atașamentele din emailurile primite.
Vulnerabilitatea provine din validarea incompletă a inputului unui fișier .tar furnizat de utilizator în ceea ce privește numele fișierelor conținute în arhivă. Ca urmare, un atacator la distanță poate formata în mod specific aceste nume de fișiere într-un mod anume, ceea ce va rezulta în executarea la distanță a unei comenzi de sistem, cu privilegiile produsului Email Security Gateway.
Barracuda a remarcat că deficiența a fost identificată pe 19 mai 2023, ceea ce a determinat compania să lanseze o actualizare pentru toate dispozitivele ESG la nivel global o zi mai târziu. O a doua soluție a fost eliberată pe 21 mai ca parte a "strategiei de limitare."
Barracuda a îndemnat, de asemenea, clienții să-și revizuiască mediile și a declarat că monitorizează în continuare situația activ.
În prezent, nu se cunoaște identitatea actorilor din spatele atacului, dar grupurile de hacking chineze și rusești au fost observate implementând malware personalizat pe dispozitivele vulnerabile Cisco, Fortinet și SonicWall în ultimele luni.
Această dezvoltare vine în contextul avertizării de la Defiant cu privire la exploatarea la scară largă a unei vulnerabilități deja remediate de tip cross-site scripting (XSS) într-un plugin numit Beautiful Cookie Consent Banner (scor CVSS: 7,2), care este instalat pe peste 40.000 de site-uri.
Vulnerabilitatea oferă atacatorilor neautentificați capacitatea de a injecta JavaScript rău intenționat pe un site web, permițând posibile redirecționări către site-uri de tip malvertising și crearea de utilizatori admin rogue, ceea ce poate duce la preluarea site-ului.
Compania de securitate WordPress a declarat că "a blocat aproape 3 milioane de atacuri împotriva mai mult de 1,5 milioane de site-uri, de la aproape 14.000 de adrese IP începând cu 23 mai 2023, iar atacurile continuă."