Barracuda Email Security Gateway (ESG) 원격 명령 주입 취약점 (CVE-2023-2868) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTBarracuda Email Security Gateway (어플라이언스 폼팩터 전용) 버전 5.1.3.001 ~ 9.2.0.006
원격의 공격자가 특수하게 조작된 .tar 아카이브 파일을 전송하여, 이메일 보안 게이트웨이 권한으로 임의의 시스템 명령을 실행하고 장비를 완전히 장악할 수 있습니다
제조사에서 제공한 자동 패치(BNSF-36456) 적용 여부를 확인하고, 침해 지표(IoC) 분석을 통해 장비 침투 흔적이 발견될 경우 즉시 장비를 교체하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Barracuda 측은 해당 취약점을 해결하기 위해 보안 패치(BNSF-36456)를 모든 고객 어플라이언스에 자동으로 적용하였습니다. 장비가 인터넷에 연결되어 정상적으로 자동 업데이트를 수신했는지 확인하십시오. CLI 환경에서 패치 적용 상태를 확인하는 방법은 다음과 같습니다.
# Barracuda ESG CLI에 접속하여 적용된 패치 목록 확인
show patches
# BNSF-36456 패치 적용 여부 및 시스템 펌웨어 버전 확인
show version2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
자동 패치가 적용되지 않았거나 추가적인 보호가 필요한 경우, 이메일 게이트웨이 장비의 관리 인터페이스에 대한 외부 접근을 차단하고 신뢰할 수 있는 IP 대역에서만 접속할 수 있도록 방화벽 규칙을 설정해야 합니다.
# iptables를 이용한 Barracuda ESG 관리 포트(예: 8000, 443) 접근 제한 예시
# 신뢰할 수 있는 관리자 IP 허용
iptables -A INPUT -p tcp -s 192.168.10.100 --dport 443 -j ACCEPT
# 외부에서 유입되는 관리 포트 트래픽 차단
iptables -A INPUT -p tcp --dport 443 -j DROP3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
실제 공격 그룹이 패치 적용 전에 장비에 백도어를 설치했을 가능성이 있으므로, 시스템 로그 및 비정상 프로세스를 점검해야 합니다. 아래 스크립트를 통해 의심스러운 네트워크 연결 및 Perl 프로세스를 모니터링하십시오.
# 의심스러운 Perl 백그라운드 프로세스 및 qx 실행 흔적 확인
ps aux | grep -i 'perl' | grep -E 'qx|sh|bash'
# 외부 비정상 IP로의 아웃바운드 커넥션 확인
netstat -antp | grep -E 'ESTABLISHED' | grep -v '192.168.'
# 메일 로그 내 의심스러운 tar 파일 처리 기록 검색
grep -i '\.tar' /var/log/maillog | grep -E '[`;|&]'반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2023-2868)은 Barracuda Email Security Gateway (ESG) 하드웨어 및 가상 어플라이언스 장비에서 발생하는 원격 명령 주입(Remote Command Injection) 취약점입니다. 이 취약점은 이메일 첨부파일 중 테이프 아카이브(.tar) 파일을 처리하는 과정에서 발생합니다. 시스템이 .tar 파일 내부의 파일명을 검증하는 과정에서 입력값 정제(Sanitization) 및 검증이 미흡하여, Perl의 qx 연산자를 통해 파일명이 시스템 명령어로 그대로 전달 및 실행되는 결함(CWE-77, CWE-20)이 존재합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 이메일 첨부파일로 특수하게 조작된 .tar 아카이브를 전송합니다. 이 아카이브 내부에는 백틱('') 또는 쉘 메타문자(예: ;, &, |)가 포함된 파일명이 존재합니다. ESG 장비가 수신된 이메일의 첨부파일을 스캔하기 위해 내부 파서(Parser)를 통해 .tar 아카이브를 해제하고 파일명을 추출할 때, Perl 스크립트 내의 qx` 연산자(외부 명령 실행 함수)가 해당 파일명을 인자로 호출합니다. 이 과정에서 파일명에 삽입된 악성 쉘 명령어가 이메일 게이트웨이 프로세스의 권한으로 자동 실행되어 리버스 쉘 연결, 악성코드 다운로드 등의 행위로 이어집니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CVSS 9.8의 치명적인(Critical) 등급으로 평가되었으며, CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 공격에 적극적으로 악용된 것이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 이메일 게이트웨이를 경유하는 모든 인바운드/아웃바운드 이메일 데이터를 탈취하거나 변조할 수 있습니다. 또한, 내부 네트워크로 진입하기 위한 교두보(Pivot Point)로 악용되어 기업 전체 인프라의 도메인 컨트롤러 및 중요 자산이 침해되는 심각한 비즈니스 중단 사태를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
A remote command injection vulnerability exists in the Barracuda Email Security Gateway (appliance form factor only) product effecting versions 5.1.3.001-9.2.0.006. The vulnerability arises out of a failure to comprehensively sanitize the processing of .tar file (tape archives). The vulnerability stems from incomplete input validation of a user-supplied .tar file as it pertains to the names of the files contained within the archive. As a consequence, a remote attacker can specifically format these file names in a particular manner that will result in remotely executing a system command through Perl's qx operator with the privileges of the Email Security Gateway product. This issue was fixed as part of BNSF-36456 patch. This patch was automatically applied to all customer appliances.
자주 묻는 실무 질문 (FAQ — CVE-2023-2868)
FAQQ1. CVE-2023-2868 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2023-2868의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 86.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2023-2868에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 barracuda이며, 대상 컴포넌트는 email security gateway입니다. 상세 영향 범위: Barracuda Email Security Gateway (어플라이언스 폼팩터 전용) 버전 5.1.3.001부터 9.2.0.006까지
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 제조사에서 제공한 자동 패치(BNSF-36456) 적용 여부를 확인하고, 침해 지표(IoC) 분석을 통해 장비 침투 흔적이 발견될 경우 즉시 장비를 교체하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2023-2868 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (barracuda)
동일 카테고리 전체 보기 →Arista VeloCloud Orchestrator (VCO) 원격 코드 실행 및 권한 상승 취약점 긴급 보안 권고 (CVE-2026-93952)
[영향 대상] Arista VeloCloud Orchestrator (VCO) 온프레미스(On-prem) 설치 버전
Ubiquiti UniFi OS 장비 원격 명령 주입 취약점 (CVE-2026-34910) 긴급 보안 권고
[영향 대상] 외부 네트워크에 노출된 Ubiquiti UniFi OS 구동 장비 전체
Citrix NetScaler ADC 및 Gateway 미인증 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-88771)
[영향 대상] Citrix NetScaler ADC 및 Gateway 14.1-73.37 및 13.1-64.23 미만 버전 (FIPS 및 NDcPP 모델 포함)
Progress Kemp LoadMaster API OS 명령 주입 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-8037)
[영향 대상] Progress Kemp LoadMaster 로드 밸런서 장비의 API 관리 인터페이스
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.