CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-1040

Authentication Bypass z możliwością RCE w Sophos Firewall

CVSS 9.8v3.1pub. 2022-03-25upd. 2025-10-27

Krytyczna podatność w Sophos Firewall umożliwia zdalnemu atakującemu ominięcie uwierzytelniania w portalu użytkownika (User Portal) oraz panelu administracyjnym (Webadmin) bez żadnych uprawnień. Podatność jest aktywnie wykorzystywana w atakach i pozwala na zdalne wykonanie kodu (RCE) na podatnym urządzeniu.

▸ Pokaż oryginał (EN)

An authentication bypass vulnerability in the User Portal and Webadmin allows a remote attacker to execute code in Sophos Firewall version v18.5 MR3 and older.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji mechanizmu uwierzytelniania w komponentach User Portal oraz Webadmin Sophos Firewall. Atakujący zdalnie, bez posiadania jakichkolwiek poświadczeń, może ominąć proces weryfikacji tożsamości i uzyskać dostęp do chronionych funkcji systemu. Następnie możliwe jest wykonanie dowolnego kodu na podatnym urządzeniu. Publiczne exploity potwierdzają praktyczną exploitowalność tej podatności.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem Sophos Firewall — uzyskać dostęp do wrażliwych danych konfiguracyjnych, modyfikować reguły firewalla oraz wykonać dowolny kod (RCE), co może prowadzić do kompromitacji całej chronionej sieci.

Mitygacja

Należy niezwłocznie zaktualizować Sophos Firewall do wersji nowszej niż v18.5 MR3. Sophos wydał poprawkę bezpieczeństwa opisaną w advisory SA-20220325-SFOS dostępnym pod adresem sophos.com. W przypadku braku możliwości natychmiastowej aktualizacji należy rozważyć ograniczenie dostępu do User Portal i Webadmin wyłącznie z zaufanych adresów IP lub całkowite wyłączenie tych interfejsów od strony sieci zewnętrznej.

Kogo dotyczy

Sophos Firewall (SFOS) w wersji v18.5 MR3 i starszych, w tym potwierdzone urządzenie Sophos XG115w z firmware 17.0.10 MR-10

Uwagi

Podatność figuruje na liście CISA KEV jako aktywnie exploitowana. Publiczne exploity dostępne są w bazie Exploit-DB (ID: 51006) oraz serwisie Packet Storm Security. Producent opublikował własne advisory (sophos-sa-20220325-sfos-rce) w dniu publikacji CVE, tj. 25 marca 2022 r.