Barracuda Networks Email Security Gateway (ESG) Appliance の脆弱性（CVE-2023-2868）

何が起きた

Barracuda Networks の Email Security Gateway（ESG）という機器で、メールに添付された .tar ファイル（複数のファイルをまとめた形式）の中のファイル名を十分に確かめていない弱点が見つかりました。攻撃者がファイル名を特別な形にすると、ESG の権限でシステムのコマンドを実行できてしまいます。この弱点は実際に悪用が確認されています。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Barracuda Email Security Gateway（機器の形で提供されるものだけ）の 5.1.3.001 から 9.2.0.006 が影響を受けます。Barracuda によると、SaaS のメールセキュリティサービスなど、ほかの製品は影響を受けません。

何をすればいい

NVD によると、この弱点は BNSF-36456 というパッチで修正され、すべての機器に自動で適用されました。Barracuda によると、2023年5月20日に修正のパッチが、5月21日に2つ目のパッチが全世界の ESG に適用され、被害を受けたとみられる利用者には ESG の管理画面で取るべき行動が通知されています。さらに Barracuda は、2023年6月6日以降の案内で、侵害された ESG はパッチの版にかかわらず、すぐに置き換えるよう勧めています。2023年7月28日の案内では、侵害された ESG の使用をやめ、Barracuda のサポートに連絡するよう求めています。管理画面に通知が出ていないか確かめ、Barracuda の公式の案内を確認してください。

やることチェックリスト

• ESG の管理画面に届いた通知を確認する
• 侵害された ESG はすぐに置き換える
• 置き換えのため Barracuda のサポートに連絡する

用語メモ

Email Security Gateway

会社に届くメールを調べて、危ない添付ファイルや迷惑メールを止める機器です。

.tar ファイル

複数のファイルを1つにまとめるための形式のファイルです。

パッチ

ソフトウェアの不具合や弱点を直すための修正プログラムです。