美國資安主管機關警示：政府單位應立即檢視是否因 Barracuda 0-day 漏洞而遭攻擊 @ 台灣電腦網路危機處理暨協調中心-TWCERT/CC

美國資安主管機關網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA），日前發表資安警訊，要求美國聯邦政府旗下單位立即檢視並調查是否因 Barracuda 日前修補的 0-day 漏洞遭駭侵攻擊。

該 0-day 漏洞的 CVE 編號為 CVE-2023-2868，發生在 Barracuda Email Security Gateway 應用程式中，該產品廣為全球 200,000 個公私單位採用，包括大型企業如 Samsung、Mitsubishi、Kraft Heinz、Delta Airlines 以及各國政府機構。

據 CISA 指出，該漏洞已遭駭侵者廣泛利用於攻擊，因此 CISA 除將此 0-day 漏洞列入其指定資安漏洞列表之外，也要求美國聯邦政府各民事執行單位（Federal Civilian Executive Branch Agencies，FCEB）必須依其 BOD 22-01 具強制力的作業指引，在期限之前更新或應對該 0-day 漏洞。

不過，Barracuda 原廠也表示，該公司已在前一周周末期間透過強制更新機制套用兩個針對此 0-day 漏洞的修補程式，因此該 0-day 漏洞已經在 5 月 21 日時自動修補完成。

不過根據 Barracuda 建議，雖然漏洞已經自動修補完成，但採用該公司 ESG 產品的客戶，其系統管理者仍應檢視其應用環境是否有遭到駭侵攻擊得逞的跡象；CISA 也對此發出相同的建議，聯邦單位仍應檢視是否曾遭攻擊。

雖然 CISA 的強制性資安檢測修補命令僅適用於美國聯邦政府單位，但仍建議所有公私單位隨時注意並遵守 CISA 發表的最新資安警示與作業指引。