CVE-2020-12271
Sophos SFOS SQL Injection Vulnerability
Beschreibung
CVE-2020-12271 ist eine kritische SQL-Injection-Schwachstelle im Sophos XG Firewall-Betriebssystem (SFOS). Die Schwachstelle besteht in den SFOS-Versionen 17.0, 17.1, 17.5 und 18.0, wenn entweder der Administrationsdienst (HTTPS) oder das Benutzerportal in der WAN-Zone exponiert ist. Eine erfolgreiche Ausnutzung ermoeglicht es einem entfernten, nicht authentifizierten Angreifer, Code auszufuehren und Benutzernamen sowie gehashte Passwoerter von lokalen Geraeteadministratoren, Portaladministratoren und Fernzugriffskonten zu exfiltrieren. Die CISA hat die aktive Ausnutzung von CVE-2020-12271 bestaetigt und eine Verbindung zu Ransomware-Kampagnen hergestellt. Der EPSS-Score von 88,9 % (99,5. Perzentil) signalisiert eine nahezu sichere Ausnutzung, was die dringende Notwendigkeit unterstreicht, betroffene Sophos-Firewall-Geraete zu patchen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | sfos | 17.0; 17.1; 17.5; 18.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://community.sophos.com/kb/en-us/135412(Vendor Advisory)
- https://cwe.mitre.org/data/definitions/89.html(Third Party Advisory)
- https://news.sophos.com/en-us/2020/04/26/asnarok/(Exploit, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-12271(US Government Resource)
Schwachstellentyp
CWE-89: Unsachgemaesse Neutralisierung spezieller Elemente in SQL-Befehlen (SQL-Injection)
SQL-Injection tritt auf, wenn benutzerseitige Eingaben ohne ordnungsgemaesse Bereinigung in Datenbankabfragen eingebunden werden. Bei der Sophos-SFOS-Schwachstelle koennen Angreifer boesartige SQL-Anweisungen ueber die WAN-exponierten Administrations- oder Benutzerportal-Schnittstellen einschleusen, was Remote-Code-Ausfuehrung und die Extraktion gespeicherter Anmeldedaten aus der Firewall-Datenbank ermoeglicht.
Mehr erfahren: CWE-89 — Unsachgemaesse Neutralisierung spezieller Elemente in SQL-Befehlen
Auswirkungsanalyse
CVE-2020-12271 weist einen CVSS-3.1-Score von 9,8 (KRITISCH) auf, was ein maximales Schweregrad-Risiko widerspiegelt. Die Schwachstelle ist aus der Ferne ueber das Netzwerk mit geringer Angriffskomplexitaet ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kompromittiert die Vertraulichkeit durch Diebstahl von Anmeldedaten, die Integritaet durch moegliche Code-Ausfuehrung und die Verfuegbarkeit der betroffenen Sophos XG Firewall. Der EPSS-Score von 88,9 % weist auf nahezu sichere Ausnutzungsaktivitaet in freier Wildbahn hin. Diese Schwachstelle ist zudem mit Ransomware-Kampagnen assoziiert, was die geschaeftlichen Auswirkungen fuer Organisationen, die Sophos-Firewalls als primaere Netzwerkperimeter-Verteidigung einsetzen, erheblich verstaerkt.
Exploit-Reifegrad
CVE-2020-12271 wurde im April 2020 im Rahmen der von Sophos dokumentierten "Asnarok"-Angriffskampagne aktiv in freier Wildbahn ausgenutzt. Oeffentlicher Exploit-Code ist verfuegbar ueber die detaillierte technische Analyse von Sophos. Die CISA hat die aktive Ausnutzung durch Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen mit einer Behebungsfrist bis zum 03.05.2022 bestaetigt, und die Schwachstelle ist mit Ransomware-Operationen verbunden. Der EPSS-Score von 88,9 % (99,5. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin und platziert diese unter den am aktivsten angegriffenen Firewall-Schwachstellen.
Behebung
- Updates gemaess Herstelleranweisungen anwenden, wie von der CISA KEV gefordert. Aktualisieren Sie Sophos SFOS auf eine gepatchte Version, die nach dem 25. April 2020 veroeffentlicht wurde.
- Ueberpruefen Sie, ob alle Sophos XG Firewall-Geraete mit SFOS-Versionen 17.0, 17.1, 17.5 oder 18.0 auf die neueste verfuegbare Firmware aktualisiert wurden.
- Falls der Administrationsdienst (HTTPS) oder das Benutzerportal in der WAN-Zone exponiert war, setzen Sie umgehend alle lokalen Administratorpasswoerter, Portaladministrator-Passwoerter und Fernzugriffs-Anmeldedaten zurueck, da diese moeglicherweise exfiltriert wurden.
- Beschraenken Sie den WAN-Zonen-Zugriff auf die Firewall-Verwaltungsoberflaeche und das Benutzerportal durch IP-basierte Zugriffskontrollen und aktivieren Sie Multi-Faktor-Authentifizierung, wo unterstuetzt.
- Ueberpruefen Sie Firewall-Protokolle auf Kompromittierungsindikatoren im Zusammenhang mit SQL-Injection-Angriffen, einschliesslich ungewoehnlicher Datenbankabfragen, nicht autorisierter Anmeldeversuche und Hinweisen auf den Asnarok-Trojaner oder verwandte Malware.
Technische Details
CVE-2020-12271 ist eine SQL-Injection-Schwachstelle in Sophos SFOS, die die Versionen 17.0, 17.1, 17.5 und 18.0 betrifft. Der Fehler wird ausgeloest, wenn entweder der HTTPS-basierte Administrationsdienst oder das Benutzerportal von der WAN-Zone aus zugaenglich ist. Ein Angreifer sendet manipulierte Anfragen mit SQL-Injection-Payloads an diese Schnittstellen, die von der Anwendung ohne ausreichende Eingabevalidierung oder parametrisierte Abfragen verarbeitet werden. Der CVSS-Vektorstring CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestaetigt, dass der Angriff vollstaendig netzwerkbasiert, trivial ausnutzbar ist und maximale Auswirkungen auf alle drei Sicherheitsdomaenen hat. Die Exploit-Kette ermoeglicht es Angreifern, nicht nur Anmeldedaten zu extrahieren, sondern auch Remote-Code-Ausfuehrung auf der Firewall zu erreichen, was Nachexploitations-Aktivitaeten wie das Bereitstellen zusaetzlicher Malware oder das Pivotieren in geschuetzte Netzwerksegmente ermoeglicht.
Häufig gestellte Fragen
Wird CVE-2020-12271 aktiv ausgenutzt?
Ja. CVE-2020-12271 wurde waehrend der Asnarok-Angriffskampagne im April 2020 aktiv in freier Wildbahn ausgenutzt. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle ist mit Ransomware-Kampagnen assoziiert. Der EPSS-Score von 88,9 % (99,5. Perzentil) weist auf eine sehr hohe Wahrscheinlichkeit fortgesetzter Ausnutzung hin.
Welche Produkte sind von CVE-2020-12271 betroffen?
CVE-2020-12271 betrifft Sophos XG Firewall-Geraete mit SFOS-Versionen 17.0, 17.1, 17.5 und 18.0 vor dem Hotfix vom 25. April 2020. Geraete sind verwundbar, wenn der Administrationsdienst (HTTPS) oder das Benutzerportal in der WAN-Zone exponiert ist.
Wie behebe ich CVE-2020-12271?
Aktualisieren Sie Sophos SFOS auf die neueste gepatchte Firmware-Version. Setzen Sie nach dem Patching alle lokalen Admin-, Portaladmin- und Fernzugriffs-Anmeldedaten zurueck. Beschraenken Sie den WAN-Zonen-Zugriff auf die Verwaltungsoberflaeche und das Benutzerportal und aktivieren Sie Multi-Faktor-Authentifizierung.
Wie schwerwiegend ist CVE-2020-12271?
CVE-2020-12271 hat einen CVSS-3.1-Score von 9,8 (KRITISCH) und einen EPSS-Score von 88,9 % (99,5. Perzentil). Die Schwachstelle ist ohne Authentifizierung aus der Ferne ausnutzbar und wurde in Ransomware-Kampagnen eingesetzt, was sie zu einer aeusserst hochpriorisierten Schwachstelle fuer Organisationen macht, die Sophos XG Firewalls einsetzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.