CISA KEV 警告 23/05/26：Barracuda ESG の脆弱性 CVE-2023-2868 を追加

CISA Adds CVE-2023-2868 Vulnerability to KEV Catalog

2023/05/26 SecurityOnline — 終わりのないサイバー戦争において、新たな脅威が出現した。米国の Cybersecurity and Infrastructure Security Agency (CISA) が発した警告は、Barracuda の Email Security Gateway (ESG) アプライアンスに存在する、セキュリティ脆弱性に関するものだ。この脆弱性 CVE-2023-2868 (CVSS：9.4) は、リモートの攻撃者にシステム・コマンド実行を許すため、侵入やデータ漏洩の可能性を生じるという。

このセキュリティ欠陥の原因は、 Barracuda ESG アプライアンスに影響を及ぼす、リモートコード・インジェクションの脆弱性にある。具体的に言うと、この脆弱性は、同製品の Ver 5.1.3.001〜9.2.0.006 に存在する。このセキュリティ・ホールは、”.tar” ファイル (テープアーカイブ) を扱う際の、不適切なサニタイズ・プロセスに起因するものだ。

このサニタイズ・プロセスの問題は、ユーザーが提供する “.tar” ファイル内に含まれる、ファイル名に対する不十分な入力検証にある。攻撃者は、ファイル名を特定の方法でフォーマットすることで、この脆弱性を悪用し、Perl の qx 演算子を使用してリモートからシステム・コマンドを実行できるという。こうして実行されたコマンドは、Barracuda ESG 製品と同じ権限を持ち、ターゲット・システムへの直接的な侵入経路になり得るという。

この重要な脆弱性に対応するため、Barracuda は BNSF-36456 パッチをリリースしている。このパッチは、すべての顧客アプライアンスに自動的に適用され、既存の脅威を無効化している。

しかし、この迅速な対応にもかかわらず、脆弱性 CVE-2023-2868 によりメールゲートウェイ・アプライアンスの一部への不正アクセスが発生したことを、同社は確認している。現時点で、攻撃の正確な規模は公表されていないが、影響を受ける顧客に対して、Barracuda は積極的に連絡を取り、改善策を提供している。

この欠陥の発表後に、CISA は 米国連邦政府民間行政機関 (FCEB) に対して、6月16日までに Barracuda メールゲートウェイ・アプライアンスにパッチを適用し、CVE-2023-2868 の悪用を阻止すべきという厳しい命令を発している。

さらに CISA が、脆弱性 CVE-2023-2868 を Known Exploited Vulnerabilities (KEV) カタログに取り込み、この問題の深刻さを強調している。

このインシデントは、サイバー・インフラに対する強固で多層的なセキュリティ対策の重要性を浮き彫りにしている。今日の相互接続された世界では、”.tar” アーカイブ内のファイル名などの、一見無害な要素であっても、システム全体を侵害する武器になり得る。

Barracuda は、この脆弱性に対して迅速にパッチを適用し、影響を受ける顧客に通知することで責任ある行動をとっているが、この出来事は、サイバー脅威が絶えず進化していることを示唆するものでもある。企業や政府機関は、デジタル防衛の継続的な戦いにおいて一歩先を行くために、サイバー・セキュリティ対策を常に更新し、適応させながら警戒を続ける必要がある。

Barracuda の Email Security Gateway (ESG) アプライアンスに存在する、脆弱性 CVE-2023-2868 が KEV リストに追加されました。リモートの攻撃者にシステム・コマンド実行を許すものであり、さまざまな攻撃のトリガーになる可能性があります。よろしければ、CISA KEV ページも、ご利用ください。