Barracuda behebt sieben teils kritische Sicherheitslücken
Barracuda hat Sicherheitslücken in den Web Application Firewalls entdeckt. Die Schwachstellen ermöglichen es Cyberkriminellen, Schutzmechanismen zu umgehen und so Malware auf Systemen zu deponieren. Eine aktualisierte Firmware für die Firewalls steht bereit.
Barracuda Networks hat Updates für die eigenen Web Application Firewalls (WAF) veröffentlicht und behebt damit sieben Schwachstellen. Die Schwachstellen erhielten jeweils eine Risikoeinstufung als "kritisch" oder "hoch", wie das Unternehmen mitteilt. Betroffen sind WAFs mit den Firmware-Versionen 11.x, 12.0 und 12.1. Die Firmware 12.2 soll die meisten Sicherheitslücken schliessen, wobei laut "Heise" noch weitere Konfigurationsänderungen nötig sind. Allerdings stehen laut dem Newsportal noch keine CVE-Einträge bereit. Auf eine Anfrage der Redaktion, wie das Unternehmen plane, die Kunden über die Lücken zu informieren, reagierte das Unternehmen zum Zeitpunkt der Publikation nicht.
Barracuda erklärt im eigens veröffentlichten Sicherheitshinweis, dass Angreifer den Datei-Upload-Schutz umgehen könnten. Dafür müssten sie nur eine andere HTTP-Methode als "POST" verwenden. Mit der "PUT"-Methode könnten sie so Dateien, auch schädliche, auf einem Zielsystem hochladen und ändern. Für die erste Sicherheitslücke beschreiben die Entwickler von Barracuda gleich vier Möglichkeiten, den Datei-Upload-Schutz auszutricksen. Standardmässig ist die PUT-Methode jedoch nicht zugelassen, wie die Entwickler erklären. Doch lasse sich der JSON-Schutz auch dort umgehen.
Wenn HTTP-Methoden nicht explizit in JSON-Sicherheitsrichtlinien hinterlegt seien, könnten kriminelle Hacker die Sicherheitsprotokolle so austricksen. Das Abgleichen der Richtlinien führe hierbei dazu, dass der Payload an das Backend-System übergeben wird, sobald die verwendete HTTP-Methode nicht mit den Richtlinien übereinstimmt. So liessen sich Prüfmechanismen ebenfalls umgehen.
Übrigens: 55 Prozent der Unternehmen im DACH-Raum sind im vergangenen Jahr Opfer eines Spear-Phishing-Angriffs geworden. Mehr dazu können Sie hier lesen.
Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.
Kanton Freiburg lanciert KI-Chatbot auf Basis von Mistral AI
Krieg in Nahost belastet Digital-Signage-Branche
Stadt Zürich lanciert KI-Assistent für Mitarbeitende
Warum risikobasierte Governance der Schlüssel zur digitalen Souveränität ist
Studie deckt massive Sicherheitsrisiken von KI-Agenten auf
Pallaskatze George möchte Mia um ein Date bitten - aber erntet nur Fauchen
Android-Sicherheitslücke hebelt Displaysperre in unter einer Minute aus
Malware-Kampagne zielt auf Windows und MacOS
Glassworm greift mit unsichtbaren Unicode-Zeichen an
