CVE-2020-15069
Sophos XG Firewall Buffer Overflow Vulnerability
Beschreibung
CVE-2020-15069 ist eine Buffer Overflow-Schwachstelle in Sophos XG Firewall Version 17.x bis v17.5 MR12, die Remote Code Execution ueber die HTTP/S Bookmarks-Funktion fuer clientlosen Zugriff ermoeglicht. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet und erfordert keinerlei Authentifizierung oder Benutzerinteraktion zur Ausnutzung.
Der EPSS-Score von 82.58 % (99.2. Perzentil) signalisiert eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit. Die CISA hat CVE-2020-15069 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Sophos hat den Hotfix HF062020.1 fuer alle betroffenen Firewalls bereitgestellt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | xg firewall firmware | >= 17.0, < 17.5; 17.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://community.sophos.com/b/security-blog/posts/advisory-buffer-overflow-vulnerability-in-user-portal(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-15069(US Government Resource)
Schwachstellentyp
Buffer Overflow
CVE-2020-15069 basiert auf einer Buffer Overflow-Schwachstelle, die CWE-120 (Buffer Copy without Checking Size of Input) zuzuordnen ist. Bei dieser Schwachstellenklasse werden Daten in einen Speicherpuffer geschrieben, ohne die Groesse der Eingabedaten gegen die Puffergroesse zu pruefen. Im Fall der Sophos XG Firewall tritt der Buffer Overflow in der HTTP/S Bookmarks-Funktion des clientlosen Zugriffs auf, wodurch ein Angreifer den Ausfuehrungsfluss des Programms uebernehmen und beliebigen Code im Kontext der Firewall ausfuehren kann.
Weitere Informationen: CWE-120 -- Buffer Copy without Checking Size of Input
Auswirkungsanalyse
Die Auswirkungen von CVE-2020-15069 betreffen Vertraulichkeit, Integritaet und Verfuegbarkeit jeweils mit hohem Schweregrad. Der CVSS-Vektor zeigt einen Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), ohne erforderliche Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) -- die Schwachstelle ist damit trivial aus der Ferne ausnutzbar. Als Netzwerk-Firewall stellt die Sophos XG ein besonders kritisches Angriffsziel dar, da sie typischerweise am Netzwerkperimeter positioniert ist und den gesamten Datenverkehr kontrolliert. Eine Kompromittierung ermoeglicht dem Angreifer die vollstaendige Kontrolle ueber den Netzwerkverkehr, das Abfangen von Zugangsdaten, die Manipulation von Firewall-Regeln und den ungehinderten Zugang zum internen Netzwerk. Der EPSS-Score von 82.58 % (99.2. Perzentil) stuft diese Schwachstelle unter die am haeufigsten ausgenutzten weltweit ein. Der Ransomware-Status ist als unbekannt klassifiziert, jedoch werden kompromittierte Firewalls regelmaessig als Einstiegspunkt fuer Ransomware-Angriffe genutzt.
Exploit-Reifegrad
CVE-2020-15069 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 27. Februar 2025, und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 82.58 % (99.2. Perzentil) ist ausserordentlich hoch und signalisiert eine der hoechsten Ausnutzungswahrscheinlichkeiten aller bekannten Schwachstellen. Sophos hat den Hotfix HF062020.1 bereitgestellt und ein Security Advisory mit Mitigationshinweisen veroeffentlicht. Die Kombination aus Netzwerkerreichbarkeit ohne Authentifizierung, der kritischen Position von Firewalls im Netzwerk und dem hohen EPSS-Score macht diese Schwachstelle zu einem der gefaehrlichsten bekannten Angriffsvektoren.
Behebung
-
Hotfix installieren: Installieren Sie umgehend den Sophos Hotfix HF062020.1, der fuer alle Firewalls mit Firmware v17.x verfuegbar ist. Pruefen Sie die Details im Sophos Security Advisory.
-
Firmware aktualisieren: Aktualisieren Sie die Sophos XG Firewall auf die neueste verfuegbare Firmware-Version. Version 17.x ist veraltet, und ein Upgrade auf eine aktuelle Major-Version bietet umfassenderen Schutz gegen bekannte und zukuenftige Schwachstellen.
-
Clientlosen Zugriff pruefen: Ueberpruefen Sie, ob die HTTP/S Bookmarks-Funktion fuer clientlosen Zugriff tatsaechlich benoetigt wird. Deaktivieren Sie die Funktion, wenn sie nicht aktiv genutzt wird, um die Angriffsoberflaeche zu reduzieren.
-
Netzwerkueberwachung intensivieren: Ueberwachen Sie den Netzwerkverkehr zur Firewall auf ungewoehnliche HTTP/S-Anfragen an die User-Portal-Schnittstelle. Pruefen Sie Firewall-Logs auf Anzeichen einer bereits erfolgten Kompromittierung.
-
Incident-Response-Planung: Stellen Sie sicher, dass ein Incident-Response-Plan fuer den Fall einer Firewall-Kompromittierung vorliegt. Eine kompromittierte Perimeter-Firewall erfordert eine umfassende Untersuchung des gesamten Netzwerks auf weitere Kompromittierungen.
Technische Details
CVE-2020-15069 betrifft Sophos XG Firewall Firmware v17.x bis einschliesslich v17.5 MR12. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den maximal moeglichen Angriff: Netzwerkzugriff (AV:N) ohne Komplexitaet (AC:L), ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N). Die Schwachstelle liegt in der HTTP/S Bookmarks-Funktion des clientlosen Zugriffs (User Portal). Bei der Verarbeitung von HTTP/S-Anfragen wird die Groesse der Eingabedaten nicht korrekt gegen die Puffergroesse validiert, was einen klassischen Buffer Overflow ermoeglicht. Ein Angreifer kann durch eine speziell praeparierte Anfrage den Speicherpuffer ueberlaufen lassen, den Stack oder Heap korruptieren und dadurch den Ausfuehrungsfluss des Programms auf eigenen Shellcode umleiten. Da die Firewall typischerweise mit Root-Rechten laeuft, erhaelt der Angreifer unmittelbar die vollstaendige Kontrolle ueber das Geraet.
Häufig gestellte Fragen
Wird CVE-2020-15069 aktiv ausgenutzt?
Ja, die CISA hat CVE-2020-15069 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 82.58 % (99.2. Perzentil) signalisiert eine der hoechsten Ausnutzungswahrscheinlichkeiten aller bekannten Schwachstellen.
Welche Sophos-Versionen sind betroffen?
Betroffen sind alle Sophos XG Firewall-Installationen mit Firmware v17.x bis einschliesslich v17.5 MR12. Sophos hat den Hotfix HF062020.1 fuer alle betroffenen Versionen bereitgestellt. Neuere Firmware-Versionen sind nicht betroffen.
Kann CVE-2020-15069 ohne Authentifizierung ausgenutzt werden?
Ja, die Schwachstelle erfordert weder eine Authentifizierung (PR:N) noch eine Benutzerinteraktion (UI:N). Ein Angreifer kann die Schwachstelle direkt ueber das Netzwerk ausnutzen, sofern die HTTP/S Bookmarks-Funktion erreichbar ist.
Warum ist eine Firewall-Schwachstelle besonders kritisch?
Firewalls befinden sich am Netzwerkperimeter und kontrollieren den gesamten ein- und ausgehenden Datenverkehr. Eine kompromittierte Firewall gibt dem Angreifer die Moeglichkeit, den gesamten Netzwerkverkehr abzufangen, Firewall-Regeln zu manipulieren und ungehindert in das interne Netzwerk einzudringen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.