Barracuda ESGに認証回避の脆弱性、修正版9.4.0.030あり
Barracuda Email Security Gatewayに、外部から機器全体の設定を不正に書き換えられる深刻な脆弱性が公表されました。9.4.0.030より前の版を使う組織は、版を確認して修正版に更新し、設定に不審な変更がないかも調べてください。
急ぎ度: 至急
CVSS v4が9.3のcriticalで、メールの入口に置く機器の設定を書き換えられてしまううえ、修正版9.4.0.030がすでに出ているためです。
関係があるか
Barracuda Email Security Gateway（ESG）を社内のメール経路に置いている組織が対象です。インターネット側から機器に到達できる構成ほど、先に確認したほうがよいでしょう。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Barracuda Email Security Gateway（ESG） | 9.4.0.030より前のすべての版 | 9.4.0.030 |
確かめ方
- 1ESGの管理画面にログインし、ファームウェアの版が9.4.0.030以上かを確認します。
- 2資産台帳やメール経路の構成図で、ESGがほかに稼働していないか（拠点・検証環境・予備機）を洗い出します。
- 3仮想アプライアンスやクラウド版を使っている場合の扱いと、更新の自動配信状況は、Barracuda Networksのセキュリティ告知で確認してください。
何が起きたか
Barracuda Email Security Gateway（ESG）の9.4.0.030より前の版で、外部から機器全体の設定を不正に書き換えられる脆弱性が公表されました。
問題があるのは、設定のバックアップを取り込んで復元する機能です。本来は管理者にだけ許されるはずのこの機能を、認証を通らずに呼び出せてしまいます。弱点の分類はCWE-288で、正規の入口とは別の経路を使うと認証を回避できるタイプです。
公表は2026年11月2日です。ベンダーのBarracuda Networksは、修正版として9.4.0.030を案内しています。
攻撃の流れ
-
1
機器に到達
ネットワーク越しにESGへ接続できる位置から接続します。
-
2
認証を回避
ログインせずに、設定の取り込み機能を呼び出します。
-
3
細工した設定を復元
機器が受け付ける形式に整えたバックアップを、復元させます。
-
4
全体設定が書き換わる
機器のグローバル設定が、攻撃者の意図した内容に置き換わります。
どう悪用されるか
認証は要りません。ネットワーク越しに機器へ到達できれば足り、管理者や利用者に何かをさせる必要もありません。CVSS v4のベクターでも、ネットワーク経由・低い複雑さ・認証不要・利用者の操作不要と評価されています。
悪用されると、機器のグローバル設定が無断で書き換えられます。メールの検査や経路の設定は、この機器が受け持つ範囲にあたります。そのため、機密性・完全性・可用性のいずれにも高い影響が見積もられています。設定が変わったまま稼働を続けると、メールの扱いが知らないうちに変わるおそれがあります。
今すぐやること
-
1
ESGの版を確認する
管理画面でファームウェアの版を見て、9.4.0.030より前かどうかを台帳と照らして確認します。複数台ある場合は全台を対象にします。
-
2
修正版9.4.0.030に更新する
メンテナンス時間を確保して更新します。更新が自動で配信されるかどうかは、Barracudaの告知で確認してください。
-
3
設定に不審な変更がないか調べる
更新後に、直近の正常なバックアップや構成の記録と、現在の設定を見比べます。管理者アカウント、メールの転送・配送先、許可や拒否のルールに、身に覚えのない変更がないかを重点的に見ます。管理画面や機器のログに、不審な設定の取り込みの記録がないかも確認します。
-
4
管理画面などへの到達範囲を絞る
管理用のポートやインターフェースが、インターネットから直接見えていないかを確認します。必要な接続元に限定しておくと、更新までの露出を減らせます。
すぐ更新できないとき
更新までに時間がかかる場合は、機器へ到達できる接続元をファイアウォールなどで必要最小限に絞ってください。ただし、この脆弱性にどの経路から届くかは、ベンダーの告知で確認する必要があります。絞るだけでは解決にならないため、修正版への更新を優先してください。
背景
ESGは、インターネットから届くメールを社内のメールサーバーの手前で受け、スパムやマルウェアを検査する機器です。メールの入口に置くため、外部と社内の両方から通信を受ける位置にあります。グローバル設定には、検査の方針や配送の経路などが集まります。ここが書き換わると、個々のメールが通る道筋そのものが変わりかねません。
同じ製品では、2023年にESGの別の脆弱性が実際の攻撃で悪用されました。このとき、ベンダーは該当する機器の交換を案内しています。境界に置く機器は外部から狙われやすく、侵害されたあとは機器自体の信頼が揺らぎます。更新に加えて、設定が変わっていないかを確認する意味はここにあります。
よくある質問
Q.修正版に更新すれば、すでに書き換えられた設定も元に戻りますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Barracuda Networks | Barracuda Email Security Gateway (ESG) |
9.4.0.030 未満 |
9.4.0.030 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web mandiant-cve@google.com
- web mandiant-cve@google.com
- web nvd.nist.gov
- web github.com