CVE-2023-7102

Podatność pochodzi z biblioteki Perl o nazwie Spreadsheet-ParseExcel, wykorzystywanej przez oprogramowanie Barracuda ESG do przetwarzania plików Excel. Błędna obsługa danych wejściowych w tej bibliotece umożliwia wstrzyknięcie parametrów (parameter injection) poprzez specjalnie spreparowany plik Excel. Atakujący może dostarczyć złośliwy plik (np. jako załącznik wiadomości e-mail), który zostanie automatycznie przetworzone przez bramkę, co uruchamia exploit bez jakiejkolwiek interakcji użytkownika.

Nieuwierzytelniony atakujący zdalnie może uzyskać pełną kontrolę nad urządzeniem — zagrożona jest poufność, integralność oraz dostępność systemu na poziomie krytycznym.

Barracuda usunęła podatną logikę po stronie urządzenia. Należy upewnić się, że urządzenia ESG otrzymały aktualizację eliminującą ten komponent — szczegóły dostępne w komunikacie bezpieczeństwa Barracuda Networks pod adresem: https://www.barracuda.com/company/legal/esg-vulnerability. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Barracuda ESG Appliance w wersjach od 5.1.3.001 do 9.2.1.001 (modele 300, 400, 600 i inne objęte tą linią firmware), do czasu usunięcia podatnej logiki przez Barracuda Networks.

Publicznie dostępny jest proof-of-concept (PoC) exploit dla podatności w bibliotece Spreadsheet-ParseExcel na GitHub (https://github.com/haile01/perl_spreadsheet_excel_rce_poc). Podatność została zgłoszona przez Mandiant (MNDT-2023-0019). Luka dotyczy komponentu zewnętrznego (CWE-1104 — użycie niezaaktualizowanej biblioteki zewnętrznej).