CVE-2022-3236

Atakujący wysyła spreparowane żądanie sieciowe do interfejsów User Portal lub Webadmin udostępnionych przez Sophos Firewall. Podatność pozwala na wstrzyknięcie i wykonanie złośliwego kodu bez konieczności uwierzytelnienia, co odpowiada wektorowi CVSS AV:N/AC:L/PR:N/UI:N. Brak jakichkolwiek wymagań wstępnych po stronie atakującego sprawia, że exploitation jest wyjątkowo prosty i możliwy do przeprowadzenia zdalnie przez sieć.

Skuteczne wykorzystanie podatności prowadzi do pełnego przejęcia kontroli nad urządzeniem Sophos Firewall — atakujący uzyskuje możliwość odczytu i modyfikacji danych oraz zakłócenia działania systemu (pełna triada CIA: poufność, integralność, dostępność). Kompromitacja firewalla może stanowić punkt wejścia do dalszego lateral movement w sieci organizacji.

Należy niezwłocznie zaktualizować Sophos Firewall do wersji nowszej niż v19.0 MR1, zgodnie z oficjalnym biuletynem bezpieczeństwa producenta (Sophos SA-20220923-SFOS-RCE). Sophos udostępnił hotfix, który może być automatycznie dystrybuowany na podatne urządzenia. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsów User Portal oraz Webadmin wyłącznie do zaufanych adresów IP lub całkowite wyłączenie ich ekspozycji na zewnętrzne interfejsy sieciowe.

Sophos Firewall w wersji v19.0 MR1 oraz wszystkich wersjach starszych.

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities, co potwierdza aktywne wykorzystywanie jej w rzeczywistych atakach. Producent opublikował dedykowany biuletyn bezpieczeństwa w dniu 2022-09-23.

CISA KEV — szczegółyi

Dostawcai

Sophos

Produkti

Firewall

Data dodania do KEVi

23 września 2022

Termin remediation (USA)i

14 października 2022(po terminie)