CVE-2020-15504

SQL injection umożliwiający RCE w Sophos XG Firewall

CVSS 9.8v3.1pub. 2020-07-10upd. 2024-11-21

Podatność SQL injection (CWE-89) w interfejsach webowych Sophos XG Firewall w wersji v18.0 MR1 i starszych umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Ocena CVSS 9.8 (CRITICAL) wskazuje na wyjątkowo wysokie ryzyko.

▸ Pokaż oryginał (EN)

A SQL injection vulnerability in the user and admin web interfaces of Sophos XG Firewall v18.0 MR1 and older potentially allows an attacker to run arbitrary code remotely. The fix is built into the re-release of XG Firewall v18 MR-1 (named MR-1-Build396) and the v17.5 MR13 release. All other versions >= 17.0 have received a hotfix.

🤖 Analiza AI

Jak działa

Atakujący może wstrzyknąć złośliwe zapytania SQL poprzez interfejs webowy przeznaczony dla użytkowników i administratorów, bez konieczności posiadania jakichkolwiek poświadczeń. Atak jest możliwy zdalnie przez sieć, bez interakcji po stronie użytkownika i bez wymaganych uprawnień. Skuteczne wstrzyknięcie zapytania SQL może doprowadzić do wykonania dowolnego kodu na urządzeniu.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem — naruszyć poufność, integralność i dostępność systemu poprzez zdalne wykonanie kodu (RCE). Zagrożone są wszystkie dane przetwarzane przez firewall.

Mitygacja

Poprawka została wbudowana w ponownie wydaną wersję XG Firewall v18 MR-1 (oznaczoną jako MR-1-Build396) oraz w wersję v17.5 MR13. Dla wszystkich pozostałych wersji >= 17.0 producent wydał hotfix. Należy niezwłocznie zaktualizować oprogramowanie urządzenia lub zastosować hotfix dostarczony przez Sophos.

Kogo dotyczy

Sophos XG Firewall w wersji v18.0 MR1 i starszych; wszystkie wersje >= 17.0 były podatne przed zastosowaniem poprawek.

Uwagi

Podatność dotyczy zarówno interfejsu użytkownika, jak i interfejsu administracyjnego, co znacznie poszerza powierzchnię ataku. Szczegóły dostępne w oficjalnym biuletynie bezpieczeństwa Sophos.