🔍 Contexte

Publié le 5 novembre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de deux vulnérabilités affectant le Barracuda Email Security Gateway (ESG), produit de sécurité email largement déployé en entreprise. L’analyse porte sur les versions 9.4.0.027 (vulnérable) et 9.4.0.029 (patchée).

🐛 Vulnérabilités identifiées

Deux CVE sont au cœur de l’analyse :

  • CVE-2026-116606 : Contournement d’autorisation pré-authentification (CVSS 9.3 critique) — affecte Barracuda ESG 9.4.0.029
  • CVE-2026-111560 : Injection de commandes OS (CVSS 8.6 élevé) — affecte ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway

Chaînées, ces deux vulnérabilités permettent une exécution de commandes à distance en tant que root sans authentification préalable.

⚙️ Détail technique

CVE-2026-116606 (Index.pm) : Le mécanisme de changement de mot de passe dans Index.pm ne stoppe pas l’exécution en cas d’échec. Lorsqu’une tentative de changement de mot de passe échoue, le code retourne une réponse JSON d’erreur mais continue l’exécution au lieu d’interrompre la requête, permettant à un utilisateur non authentifié de progresser dans le flux applicatif avec le rôle de l’écran de connexion.

CVE-2026-111560 (Backup2.pm / fix_tz.pl) : Un handler d’upload de backup (bayesian_upload.pm) permet de déclencher une restauration de fichier tar. Ce fichier contient un dump MySQL dont une ligne (timezone) est passée sans assainissement à une commande shell via des backticks Perl. Une valeur malformée permet de briser la syntaxe shell et d’injecter des commandes arbitraires exécutées en root.

Contournement du checksum : Le mécanisme de validation du backup repose sur un checksum dont le « secret » est statique et prévisible, permettant à l’attaquant de forger un backup valide.

📦 Produits et versions affectés

  • Barracuda ESG < 9.4.0.029
  • Barracuda Load Balancer ADC
  • Message Archiver
  • WAF Control Center
  • Web Application Firewall
  • Web Security Gateway

📎 Type d’article

Publication de recherche offensive par watchTowr Labs, accompagnée d’un générateur d’artefacts de détection disponible sur GitHub, visant à documenter la chaîne d’exploitation et à permettre aux organisations de tester leur exposition.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)

IOC

  • CVEs : CVE-2026-116606 — NVD · CIRCL
  • CVEs : CVE-2026-111560 — NVD · CIRCL
  • CVEs : CVE-2023-2868 — NVD · CIRCL
  • Fichiers : Index.pm
  • Fichiers : Backup2.pm
  • Fichiers : bayesian_upload.pm
  • Fichiers : UserRole.pm
  • Fichiers : Params.pm
  • Fichiers : fix_tz.pl

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ labs.watchtowr.com — source reconnue (liste interne) (20pts)
  • ✅ 11679 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 9 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://labs.watchtowr.com/barracuda-networks-is-your-new-best-friend-barracuda-email-security-gateway-pre-auth-remote-root-rce-cve-2026-116606-cve-2026-111560