Barracuda et SonicWall : l'authentification contournée

Cette semaine, la CISA a inscrit à son catalogue KEV deux failles d'équipements de bordure qui s'attaquent au même verrou : l'authentification. Le 6 novembre, une faille du RPV SSL de SonicWall qui contourne l'AMF imposée par SAML. Le 10 novembre, une paire de failles de la passerelle courriel Barracuda qui, combinées, mènent à un accès root sans mot de passe. Le Centre canadien pour la cybersécurité a relayé les deux.

Ce qui s'est passé

Barracuda, deux failles qui s'enchaînent. Le 2 novembre, Barracuda a publié un avis sur deux failles signalées par Mandiant :

• CVE-2026-116606, un contournement de l'authentification dans Email Security Gateway (ESG), score CVSS 4.0 de 9,3. Selon Mandiant, un attaquant distant non authentifié peut appeler une fonction d'importation de configuration et restaurer une archive de sauvegarde piégée, ce qui modifie la configuration globale de l'appareil ;
• CVE-2026-111560, une injection de commandes dans le champ du fuseau horaire, score 8,6. Elle permet à un administrateur authentifié d'exécuter des commandes avec les privilèges root. Elle touche ESG, mais aussi Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway.

Barracuda indique que, combinées, ces failles permettent de contourner les contrôles d'autorisation et d'obtenir un accès root. Le 5 novembre, le fournisseur a corrigé son avis : la première faille n'exige pas d'authentification, seulement l'accès à l'interface d'administration. Le 9 novembre, il a ajouté avoir observé une exploitation touchant « un petit nombre d'organisations ». Le bulletin AV26-1112 du Centre canadien liste les versions touchées, dont ESG avant 9.4.0.030, et la CISA a ajouté les deux CVE au KEV le 10 novembre avec une échéance au 13 novembre et un triage forensique requis.

SonicWall, l'AMF SAML contournée. CVE-2026-19868 touche le service SSLVPN de SonicOS. Selon la NVD, un utilisateur qui détient des identifiants valides pour une autre méthode d'authentification peut contourner les contrôles SAML, y compris l'AMF imposée par SAML. Help Net Security précise que la faille ne s'exploite que si SAML est activé pour les connexions SSLVPN, qu'aucune mesure de contournement n'est publiée et que la version Gen7 corrigée est 7.3.4-7013. Le bulletin AV26-1133 du Centre indique que SonicWall signale une exploitation. La CISA l'a ajoutée au KEV le 6 novembre, avec une échéance au 20 novembre.

Pourquoi ça compte

L'AMF dépend de l'équipement qui l'impose. Beaucoup d'organisations ont réglé la question de l'accès distant en branchant le RPV sur leur fournisseur d'identité par SAML, avec l'AMF au bout. La faille SonicWall montre que si l'équipement accepte une autre méthode d'authentification en parallèle, un mot de passe volé peut suffire. C'est le même constat que dans FortiBleed : les identifiants volés circulent, et chaque chemin qui contourne l'AMF finit par être trouvé.

L'interface d'administration reste la cible. Pour Barracuda, tout passe par l'interface d'administration. Nous avons déjà écrit sur PAN-OS et son interface de gestion exposée : le problème se répète d'un fournisseur à l'autre. Une console accessible depuis Internet transforme une faille de configuration en compromission complète.

Une passerelle courriel voit tout. ESG filtre le courriel entrant et sortant. Un attaquant qui en prend le contrôle root se place au milieu du flux de messages de l'organisation. La demande de triage forensique de la CISA vise précisément ce risque : appliquer le correctif ne dit pas si quelqu'un est déjà entré.

Ce que nous en pensons chez Sentrix

1. Vérifiez d'abord l'exposition. Pour chaque appareil Barracuda et SonicWall, notez si l'interface d'administration ou le portail SSLVPN est joignable depuis Internet. Le module CTEM tient cet inventaire d'exposition à jour.
2. Fermez l'interface d'administration au public. Barracuda recommande de la limiter aux réseaux internes de confiance. Ajoutez un accès par bastion ou par RPV d'administration distinct, avec AMF résistante à l'hameçonnage.
3. Appliquez les correctifs et confirmez la version. Barracuda précise qu'un appareil très en retard peut demander plusieurs mises à jour successives, et recommande de réactiver les correctifs automatiques s'ils sont désactivés.
4. Désactivez les méthodes d'authentification parallèles. Sur SonicWall, si SAML est la méthode officielle, vérifiez qu'aucune autre méthode, locale ou LDAP, n'est encore acceptée pour le RPV. Une seule porte, avec l'AMF, est plus simple à défendre.
5. Cherchez les traces avant de fermer le ticket. Configurations importées, comptes ou règles inconnus, connexions RPV inhabituelles : le ticket se ferme avec la recherche documentée. Notre service sécurité réseau couvre ces vérifications.
6. Réinitialisez les identifiants exposés. Si un appareil a pu être compromis, les comptes qui s'y authentifient et les secrets qu'il stocke sont à changer.

La prochaine étape

Listez vos équipements de bordure avec trois colonnes : fournisseur, interface exposée ou non, méthode d'authentification acceptée. Une ligne avec « exposée » et « plusieurs méthodes » est à traiter cette semaine. Pour faire l'exercice avec nous, contactez-nous.