Trusted Design

CVE-2023-2868 の詳細

CVEの情報

説明:
A remote command injection vulnerability exists in the Barracuda Email Security Gateway (appliance form factor only) product effecting versions 5.1.3.001-9.2.0.006. The vulnerability arises out of a failure to comprehensively sanitize the processing of .tar file (tape archives). The vulnerability stems from incomplete input validation of a user-supplied .tar file as it pertains to the names of the files contained within the archive. As a consequence, a remote attacker can specifically format these file names in a particular manner that will result in remotely executing a system command through Perl's qx operator with the privileges of the Email Security Gateway product. This issue was fixed as part of BNSF-36456 patch. This patch was automatically applied to all customer appliances.

CVE更新日: 2023-05-24 19:15:09.363000

CVSSバージョン: 3.1

CVSSスコア: 9.4

KEVの情報

KEV更新日: 2023-05-26

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.876910000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-2868は、Barracuda Email Security Gateway (ESG) アプライアンスに存在するリモートコマンドインジェクションの脆弱性です。この脆弱性は、すでに攻撃に悪用されたことが確認されています。

1. 脆弱性の概要

この脆弱性は、Barracuda Email Security Gatewayアプライアンスが電子メールの添付ファイルをスキャンするモジュールに存在します。特に、ユーザーが提供する.tarファイル（テープアーカイブ）の処理において、ファイル名に含まれる入力の検証が不十分であることが原因です。結果として、リモートの攻撃者は特定の形式でファイル名を細工することで、ESG製品の権限でPerlのqx演算子を通じてシステムコマンドをリモートで実行できます。

1.1 影響

  • リモートコード実行 (RCE): 認証されていないリモートの攻撃者が、脆弱なアプライアンス上で特権ユーザーのコンテキストで任意のコードを実行できます。
  • バックドアの設置: 攻撃者はESGアプライアンスにバックドアを設置し、永続的なアクセス、メールスキャン、認証情報窃取、データ漏洩などの活動を行う可能性があります。
  • データ窃取: 攻撃者は侵害されたアプライアンスを介して通過するメールの履歴や内容を取得できます。
  • 横展開: 攻撃者は侵害したアプライアンスを足がかりに、ネットワーク内で横展開を試みることがあります。

1.2 深刻度

CVSSv3スコアは9.8 (Critical)と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Barracuda ESGアプライアンスに固有の脆弱性であり、特定のOSバージョンに直接影響するものではありません。

2.2 影響を受ける設定

  • 製品: Barracuda Email Security Gateway (ESG) アプライアンス (仮想マシンインスタンスではなく、アプライアンス形式のみ)
  • ファームウェアバージョン: 5.1.3.001 から 9.2.0.006 までのバージョン

3. 影響を受けた時の兆候

  • 不審な外部への通信 (特に、攻撃活動で観測された不正な通信先のIPアドレスやドメインへの通信) の発生
  • Barracuda NetworksからCVE-2023-2868の悪用に関する通知を受けている場合
  • アプライアンス上でマルウェア（SUBMARINE、SALTWATER/QuitTunnel、SEASPY、SEASIDE、SKIPJACK、DEPTHCHARGE、FOXTROT / FOXGLOVEなど）の存在

4. 推奨対策

CVE-2023-2868は、2022年10月にはすでに悪用が確認されており、ベンダーからパッチが提供された後も攻撃が継続している事例が報告されています。

4.1 本対策

  • アプライアンスの交換: Barracuda Networksは、脆弱性の影響を受けたすべてのアプライアンスを、パッチのバージョンに関係なく直ちに交換することを強く推奨しています。 Barracuda社は、影響を受けた顧客に対して無償で交換を提供しています。
  • ファームウェアの確認と更新: 修正パッチ「BNSF-36456」は自動的にすべての顧客アプライアンスに適用されましたが、ファームウェアバージョンが9.2.0.006よりも新しいことを確認してください。
  • 侵害調査の実施: パッチ適用済みであっても、攻撃者が永続的なアクセスを確立している可能性があるため、Barracuda NetworksやMandiantなどの提供する最新情報を確認し、追加の侵害調査を速やかに実施することが非常に重要です。
    • Mandiantは、侵害されたESGの影響を受けたネットワーク内のUNC4841の活動を引き続き調査することを強く推奨しています。
    • CISAも、CVE-2023-2868の悪用を調査するインシデントレスポンダーを支援するための追加のIOCを公開しています。
  • 関連する認証情報のリセット: ESGアプライアンスに関連するすべての認証情報をリセットすることが推奨されます。

4.2 暫定回避策（緩和策）

  • 電子メールフィルタリングの強化: 上流で.tar添付ファイルを含む電子メールをブロックまたは隔離する電子メールフィルタリングを実装します。
  • ネットワークセキュリティ制御の強化: ESGアプライアンスを他のネットワークセキュリティ制御の背後に配置し、露出を制限します。
  • 追加のロギングと監視の有効化: ESGアプライアンスを含むネットワークセグメントで追加のロギングと監視を有効にし、悪用試行を検出します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る