Barracuda warns of critical flaws allowing root access to devices

La em­pre­sa de ci­ber­se­gu­ri­dad Ba­rra­cu­da Net­works ha emi­ti­do una ad­ver­ten­cia a sus usua­rios para que ins­ta­len ac­tua­li­za­cio­nes que so­lu­cio­nen dos fa­llos de se­gu­ri­dad. Estas vul­ne­ra­bi­li­da­des per­mi­ten que los ata­can­tes eje­cu­ten co­man­dos con pri­vi­le­gios de root. La pri­me­ra de ellas es una falla crí­ti­ca re­la­cio­na­da con una de­bi­li­dad de au­ten­ti­ca­ción en la pa­sa­re­la de se­gu­ri­dad de co­rreo elec­tró­ni­co, la cual puede ser apro­ve­cha­da para al­te­rar la con­fi­gu­ra­ción glo­bal de un dis­po­si­ti­vo. La se­gun­da per­mi­te que ac­to­res ma­li­cio­sos con per­mi­sos de ad­mi­nis­tra­dor in­yec­ten co­man­dos del sis­te­ma ope­ra­ti­vo que se eje­cu­tan igual­men­te como root.

Para que los ata­ques ten­gan éxito, la com­pa­ñía se­ña­ló que es ne­ce­sa­rio que los agre­so­res ten­gan ac­ce­so a las in­ter­fa­ces ad­mi­nis­tra­ti­vas de los equi­pos afec­ta­dos. Por este mo­ti­vo, se acon­se­ja im­ple­men­tar con­tro­les ade­cua­dos de ac­ce­so a la red y li­mi­tar la en­tra­da ex­clu­si­va­men­te a redes in­ter­nas con­fia­bles para re­du­cir la ex­po­si­ción. Al com­bi­nar­se, estas vul­ne­ra­bi­li­da­des po­si­bi­li­tan que un ata­can­te eluda los con­tro­les de au­to­ri­za­ción y con­si­ga ac­ce­so total como root en el dis­po­si­ti­vo. Como res­pues­ta, la firma ini­ció un pro­ce­so de co­rrec­ción y lanzó los par­ches de se­gu­ri­dad co­rres­pon­dien­tes, ins­tan­do a los clien­tes a com­pro­bar sus ver­sio­nes de firm­wa­re y apli­car las ac­tua­li­za­cio­nes.

El ar­tícu­lo ori­gi­nal tam­bién men­cio­na an­te­ce­den­tes de fa­llos co­rre­gi­dos años atrás en la misma pa­sa­re­la de se­gu­ri­dad de co­rreo elec­tró­ni­co, los cua­les fue­ron apro­ve­cha­dos por gru­pos de pi­ra­te­ría in­for­má­ti­ca en ata­ques de día cero para eje­cu­tar có­di­go ar­bi­tra­rio y lle­var a cabo ac­cio­nes de ci­ber­es­pio­na­je, des­plie­gue de malwa­re y robo de datos. Asi­mis­mo, se in­clu­ye in­for­ma­ción ge­ne­ral sobre la his­to­ria de la com­pa­ñía, su base glo­bal de clien­tes y una pro­mo­ción co­mer­cial sobre he­rra­mien­tas de aná­li­sis de se­gu­ri­dad para co­rreo elec­tró­ni­co.