CVE-2025-7624

SQL Injection w Sophos Firewall SMTP Proxy prowadzące do RCE

CVSS 9.8v3.1pub. 2025-07-21upd. 2025-11-17

Podatność SQL injection w przestarzałym (transparentnym) proxy SMTP produktu Sophos Firewall umożliwia zdalne wykonanie kodu (RCE) przy spełnieniu określonych warunków konfiguracyjnych. Ocena CVSS 9.8 (CRITICAL) wskazuje na krytyczne zagrożenie, które nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An SQL injection vulnerability in the legacy (transparent) SMTP proxy of Sophos Firewall versions older than 21.0 MR2 (21.0.2) can lead to remote code execution, if a quarantining policy is active for Email and SFOS was upgraded from a version older than 21.0 GA.

🤖 Analiza AI

Jak działa

Luka (CWE-89) tkwi w komponencie legacy transparent SMTP proxy systemu Sophos Firewall. Atakujący może wstrzyknąć złośliwe zapytania SQL przez ten komponent, co przy aktywnej polityce kwarantanny dla poczty elektronicznej oraz po uprzedniej aktualizacji systemu SFOS z wersji starszej niż 21.0 GA prowadzi do wykonania dowolnego kodu na urządzeniu. Wektor sieciowy (AV:N) bez wymogu uwierzytelnienia (PR:N) oznacza, że exploit może zostać przeprowadzony zdalnie przez sieć.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie kodu (RCE) na urządzeniu Sophos Firewall, co może skutkować pełnym przejęciem kontroli nad urządzeniem, naruszeniem poufności, integralności oraz dostępności chronionych zasobów.

Mitygacja

Należy zaktualizować Sophos Firewall do wersji 21.0 MR2 (21.0.2) lub nowszej. Szczegółowe instrukcje dostępne są w oficjalnym komunikacie bezpieczeństwa producenta: https://www.sophos.com/en-us/security-advisories/sophos-sa-20250721-sfos-rce

Kogo dotyczy

Sophos Firewall w wersjach starszych niż 21.0 MR2 (21.0.2), przy jednoczesnym spełnieniu obu warunków: aktywna polityka kwarantanny dla poczty e-mail ORAZ system SFOS był wcześniej aktualizowany z wersji starszej niż 21.0 GA.

Uwagi

Podatność występuje wyłącznie przy łącznym spełnieniu dwóch warunków: aktywna polityka kwarantanny dla e-mail oraz wcześniejsza migracja z wersji SFOS starszej niż 21.0 GA. Urządzenia niespełniające obu warunków jednocześnie mogą nie być podatne, mimo że działają na wersji starszej niż 21.0 MR2.