Multiple Products
Die Schwachstelle betrifft mehrere Appliance-Produkte von Barracuda Networks, die auf einer gemeinsamen Codebasis beruhen. Dazu gehören Email Security Gateway (ESG), Load Balancer, Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) und Web Security Gateway (WSG). Der Fehler steckt im Konfigurationsfeld für die Zeitzone: Shell-Metazeichen in diesem Feld werden nicht ausreichend gefiltert. Ein angemeldeter Administrator kann deshalb einen manipulierten Zeitzonenwert hinterlegen, in dem Betriebssystembefehle versteckt sind. Sobald das System diesen Wert später verarbeitet, werden die eingeschleusten Befehle mit Root-Rechten ausgeführt. Der Angreifer erhält damit die volle Kontrolle über die Appliance. Für den Angriff sind zwar Administratorrechte nötig, laut Hersteller lässt sich die Lücke aber mit einer weiteren Schwachstelle verketten. Dadurch steigt das Risiko in der Praxis deutlich.
Setzen Sie die Gegenmaßnahmen nach den Anweisungen des Herstellers um und prüfen Sie, wie stark die betroffenen Systeme aus dem Internet erreichbar sind. Gibt es keine Gegenmaßnahmen, stellen Sie die Nutzung des Produkts ein.