「Barracuda ESG」脆弱性、修正の7カ月前に悪用の痕跡

Barracuda Networksが提供する「Email Security Gatewayアプライアンス（ESG）」に脆弱性「CVE-2023-2868」が明らかとなった問題で、少なくとも2022年10月より悪用されていたことがわかった。

「CVE-2023-2868」は、受信したメールの添付ファイルをスクリーニングするモジュールにおいて明らかとなったリモートコマンドインジェクションの脆弱性。細工された添付ファイルを処理するとシステムコマンドを実行されるおそれがある。

同社では、現地時間5月20日に顧客向けに配信したパッチ「BNSF-36456」にて同脆弱性を修正。さらに翌21日に封じ込め対策を行う2度目のパッチを展開したことを明らかにしていた。

同社はこれまでの経緯を明らかにし、きっかけとなったのは、5月18日に報告されたアプライアンスからの異常なトラフィックだったと説明。その後Mandiantに協力を仰ぎ、5月19日に同脆弱性を特定したという。

また現地時間5月30日の時点で、同脆弱性が少なくとも2022年10月の時点で悪用されていたことを明らかにした。以降、約7カ月間にわたりゼロデイ状態だったことになる。

（Security NEXT - 2023/06/01 ）ツイート