CVE-2020-25223
Sophos SG UTM Remote Code Execution Vulnerability
Beschreibung
CVE-2020-25223 ist eine kritische Remote-Code-Execution-Schwachstelle im Sophos SG UTM (Unified Threat Management) WebAdmin-Portal, die es einem authentifizierten Angreifer ermöglicht, beliebige Betriebssystembefehle auf dem zugrundeliegenden System auszuführen. Die Schwachstelle besteht in der WebAdmin-Oberfläche, die Benutzereingaben unsachgemäß verarbeitet und dadurch OS-Command-Injection ermöglicht. Die CISA hat CVE-2020-25223 aufgrund bestätigter aktiver Ausnutzung in den KEV-Katalog aufgenommen. Mit einem EPSS-Score von 94,4 % (99,4. Perzentile) stellt diese Schwachstelle ein unmittelbares Risiko für Organisationen dar, die Sophos SG UTM-Appliances für die Netzwerksicherheit einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | unified threat management | < 9.511; >= 9.600, < 9.607; >= 9.700, < 9.705; 9.511; 9.607; 9.705 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164697/Sophos-UTM-WebAdmin-SID-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://community.sophos.com/b/security-blog(Not Applicable, Vendor Advisory)
- https://community.sophos.com/b/security-blog/posts/advisory-resolved-rce-in-sg-utm-webadmin-cve-2020-25223(Vendor Advisory)
- https://cwe.mitre.org/data/definitions/78.html(Technical Description)
- https://www.secpod.com/blog/remote-code-execution-in-sophos-utm/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-25223(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CWE-78 beschreibt eine Schwachstelle, bei der Software Betriebssystembefehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Sonderzeichen ordnungsgemäß zu neutralisieren. Bei CVE-2020-25223 versagt das Sophos SG UTM WebAdmin-Portal bei der ordnungsgemäßen Bereinigung von Benutzereingaben, wodurch ein Angreifer mit Zugang zur Verwaltungsoberfläche beliebige Betriebssystembefehle auf der zugrundeliegenden Appliance einschleusen und ausführen kann.
Weitere Informationen: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2020-25223 ermöglicht Remote Code Execution auf Sophos SG UTM-Appliances, die als kritische Netzwerksicherheits-Gateways für viele Organisationen dienen. Ein erfolgreicher Exploit erlaubt es einem Angreifer, beliebige Befehle auf dem Betriebssystem auszuführen und damit die vollständige Kontrolle über die UTM-Appliance zu erlangen. Da UTM-Geräte am Netzwerkperimeter positioniert sind und Firewall-, VPN-, Intrusion-Prevention- und Web-Filtering-Funktionen übernehmen, kann die Kompromittierung eines solchen Geräts Angreifern Einblick in den gesamten Netzwerkverkehr geben, die Deaktivierung von Sicherheitskontrollen ermöglichen und einen Ausgangspunkt für laterale Bewegung in das geschützte Netzwerk bieten. Der hohe EPSS-Score von 94,4 % (99,4. Perzentile) reflektiert die weit verbreitete und aktive Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
CVE-2020-25223 wird aktiv in der freien Wildbahn ausgenutzt, wie die Aufnahme in den CISA-KEV-Katalog bestätigt. Die Schwachstelle wird von fortgeschrittenen Bedrohungsakteuren gezielt angegriffen, die Netzwerkperimeter-Sicherheitsappliances für persistenten Zugang zu geschützten Netzwerken kompromittieren wollen. Der EPSS-Score von 94,4 % (99,4. Perzentile) zeigt eine nahezu sichere Ausnutzungswahrscheinlichkeit an. Die Ausnutzung erfordert Zugang zur WebAdmin-Oberfläche, doch viele Organisationen stellen diese für das Remote-Management ins Internet bereit, was die Angriffsfläche erheblich erweitert.
Behebung
- Sophos-Hotfix anwenden: Installieren Sie den Sophos-Hotfix oder aktualisieren Sie auf eine gepatchte Firmware-Version gemäß den Herstelleranweisungen und der CISA-KEV-Richtlinie.
- WebAdmin-Zugang einschränken: Beschränken Sie den Zugriff auf die WebAdmin-Oberfläche auf vertrauenswürdige Managementnetzwerke und verhindern Sie den Zugang aus dem Internet mittels Firewall-Regeln.
- Zwei-Faktor-Authentifizierung aktivieren: Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle WebAdmin-Administratorkonten, um das Risiko von Credential-basierten Angriffen zu reduzieren.
- Protokolle prüfen: Überprüfen Sie WebAdmin-Zugriffs- und Systemprotokolle auf Indicators of Compromise, einschließlich unerwarteter Befehlsausführung, unautorisierter Konfigurationsänderungen oder anomaler administrativer Sitzungen.
- Netzwerksegmentierung implementieren: Begrenzen Sie den Wirkungsradius einer möglichen Kompromittierung der UTM-Appliance durch Netzwerksegmentierung und setzen Sie Monitoring ein, um ungewöhnliche Verkehrsmuster oder ausgehende Verbindungen vom UTM-Gerät zu erkennen.
Technische Details
CVE-2020-25223 ist eine OS-Command-Injection-Schwachstelle (CWE-78) im WebAdmin-Verwaltungsportal von Sophos SG UTM-Appliances. Die WebAdmin-Oberfläche, die die webbasierte Administration des UTM-Geräts ermöglicht, verarbeitet Benutzereingaben in bestimmten Anfrageparametern unsachgemäß, wodurch das Einschleusen beliebiger Betriebssystembefehle möglich wird. Die eingeschleusten Befehle werden mit den Berechtigungen des Webanwendungsprozesses ausgeführt, der typischerweise mit erhöhten Privilegien auf der Appliance läuft. Die Schwachstelle betrifft Sophos SG UTM-Versionen vor v9.705 MR5, v9.607 MR7 und v9.511 MR11. Da UTM-Appliances als Netzwerksicherheits-Gateways am Netzwerkperimeter positioniert sind, bietet eine Kompromittierung über diese Schwachstelle Angreifern eine strategisch wertvolle Position für Netzwerküberwachung und weiterführende Angriffe.
Häufig gestellte Fragen
Wird CVE-2020-25223 aktiv ausgenutzt?
Ja, CVE-2020-25223 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA-KEV-Katalog gelistet. Der EPSS-Score von 94,4 % (99,4. Perzentile) bestätigt hohe Ausnutzungsaktivität. Organisationen mit verwundbaren Sophos SG UTM-Appliances und aus dem Internet erreichbaren WebAdmin-Oberflächen sind besonders gefährdet.
Welche Produkte sind von CVE-2020-25223 betroffen?
CVE-2020-25223 betrifft Sophos SG UTM-Appliances mit Firmware-Versionen vor v9.705 MR5, v9.607 MR7 und v9.511 MR11. Die Schwachstelle befindet sich im WebAdmin-Verwaltungsportal, das für die webbasierte Administration des UTM-Geräts verwendet wird.
Wie behebe ich CVE-2020-25223?
Installieren Sie den Sophos-Sicherheitshotfix oder aktualisieren Sie auf eine gepatchte Firmware-Version. Beschränken Sie den WebAdmin-Zugang sofort auf vertrauenswürdige Managementnetzwerke und aktivieren Sie die Zwei-Faktor-Authentifizierung für alle Administratorkonten.
Wie schwerwiegend ist CVE-2020-25223?
CVE-2020-25223 wird als CRITICAL eingestuft, da es Remote Code Execution auf Netzwerksicherheits-Gateway-Appliances ermöglicht. Der EPSS-Score von 94,4 % (99,4. Perzentile) zeigt eine nahezu sichere Ausnutzung an. Die Kompromittierung einer UTM-Appliance gibt Angreifern die Kontrolle über ein Gerät, das sämtliche Netzwerksicherheitsfunktionen übernimmt, und erfordert daher sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.