CVE-2020-29574
CyberoamOS (CROS) SQL Injection Vulnerability
Beschreibung
CVE-2020-29574 ist eine SQL Injection-Schwachstelle im WebAdmin-Interface von Sophos CyberoamOS bis zum 4. Dezember 2020, die es nicht authentifizierten Angreifern ermoeglicht, beliebige SQL-Statements aus der Ferne auszufuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet und erfordert keinerlei Authentifizierung oder Benutzerinteraktion.
Der EPSS-Score von 8.41 % (92.2. Perzentil) weist auf eine deutlich erhoehte Ausnutzungswahrscheinlichkeit hin. Die CISA hat CVE-2020-29574 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Sophos hat einen Fix fuer CyberoamOS bereitgestellt, wobei zu beachten ist, dass Cyberoam-Geraete mittlerweile End-of-Life sind.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | cyberoamos | <= 2020-12-04 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
SQL Injection
CVE-2020-29574 basiert auf einer SQL Injection-Schwachstelle, die CWE-89 (SQL Injection) zuzuordnen ist. Bei dieser Schwachstellenklasse werden Benutzereingaben ohne ausreichende Sanitisierung in SQL-Abfragen eingebettet, wodurch ein Angreifer die Struktur und Logik der SQL-Abfrage manipulieren kann. Im Fall des Sophos CyberoamOS WebAdmin-Interface kann ein nicht authentifizierter Angreifer ueber manipulierte Eingaben beliebige SQL-Statements ausfuehren und damit auf die gesamte Datenbank zugreifen, Daten extrahieren oder modifizieren.
Weitere Informationen: CWE-89 -- SQL Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2020-29574 betreffen Vertraulichkeit, Integritaet und Verfuegbarkeit jeweils mit hohem Schweregrad. Der CVSS-Vektor zeigt einen Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), ohne erforderliche Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N). Da Cyberoam-Geraete als Next-Generation Firewalls (NGFW) am Netzwerkperimeter eingesetzt werden, ist die Schwachstelle direkt aus dem Internet ausnutzbar, sofern das WebAdmin-Interface erreichbar ist. Durch SQL Injection kann ein Angreifer Zugangsdaten, Konfigurationen und VPN-Schluessel aus der Firewall-Datenbank extrahieren, Firewall-Regeln manipulieren oder den Dienst stoeren. Der EPSS-Score von 8.41 % (92.2. Perzentil) stuft diese Schwachstelle als ueberdurchschnittlich haeufig ausgenutzt ein. Der Ransomware-Status ist als unbekannt klassifiziert, jedoch sind kompromittierte Firewalls ein typischer Einstiegspunkt fuer Ransomware-Angriffe auf Unternehmensnetzwerke.
Exploit-Reifegrad
CVE-2020-29574 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 27. Februar 2025, und bestaetigt damit die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 8.41 % (92.2. Perzentil) unterstreicht die erhoehte Ausnutzungswahrscheinlichkeit. SQL Injection-Schwachstellen sind generell gut erforscht und einfach automatisierbar, was die Exploit-Reife zusaetzlich erhoeht. Da Cyberoam-Geraete mittlerweile End-of-Life sind und durch Sophos XG/XGS Firewalls abgeloest wurden, bleiben ungepatchte Installationen dauerhaft verwundbar. Die Schwachstelle wurde in der Fachpresse dokumentiert und ist in der Sicherheitsgemeinschaft bekannt.
Behebung
-
CyberoamOS aktualisieren: Installieren Sie den von Sophos bereitgestellten Fix fuer CyberoamOS. Pruefen Sie ueber das Sophos Security Advisory die verfuegbaren Updates. Da Cyberoam-Geraete End-of-Life sind, planen Sie die Migration auf eine aktuelle Sophos Firewall-Plattform.
-
Geraet ersetzen: Da Cyberoam-Produkte den End-of-Life-Status erreicht haben und durch die Sophos XG/XGS-Serie abgeloest wurden, ist der Austausch durch ein aktuell unterstuetztes Geraet die nachhaltigste Loesung. Migrationstools von Sophos erleichtern den Wechsel.
-
WebAdmin-Zugriff einschraenken: Beschraenken Sie den Zugriff auf das WebAdmin-Interface umgehend auf vertrauenswuerdige IP-Adressen und deaktivieren Sie den WAN-seitigen Zugang zur Verwaltungsoberflaeche vollstaendig.
-
Zugangsdaten rotieren: Da SQL Injection den Zugriff auf die Firewall-Datenbank ermoeglicht, aendern Sie alle administrativen Zugangsdaten, VPN-Schluessel und Zertifikate, die auf dem Cyberoam-Geraet gespeichert sind. Gehen Sie davon aus, dass diese kompromittiert sein koennten.
-
Netzwerk auf Kompromittierung pruefen: Untersuchen Sie Firewall-Logs und Netzwerkverkehr auf Anzeichen einer bereits erfolgten SQL Injection. Achten Sie auf ungewoehnliche Datenbankabfragen, exportierte Konfigurationen und unautorisierte Regel-Aenderungen.
Technische Details
CVE-2020-29574 betrifft das WebAdmin-Interface von Sophos CyberoamOS bis zum 4. Dezember 2020. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den maximal moeglichen Angriff: Netzwerkzugriff (AV:N) ohne Komplexitaet (AC:L), ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N). Die Schwachstelle liegt in der unzureichenden Sanitisierung von Benutzereingaben im WebAdmin-Interface. Ein Angreifer kann manipulierte HTTP-Anfragen an das WebAdmin senden, die SQL-Metazeichen enthalten und von der Anwendung ohne Escaping in SQL-Abfragen eingebettet werden. Dies ermoeglicht typische SQL Injection-Techniken wie UNION-basierte Abfragen zum Extrahieren von Daten, Boolean-basierte und zeitbasierte Blind SQL Injection sowie im schlimmsten Fall die Ausfuehrung von Betriebssystembefehlen ueber datenbankspezifische Funktionen. Cyberoam-Geraete sind Next-Generation Firewalls, die von Sophos uebernommen wurden und mittlerweile durch die XG/XGS-Plattform ersetzt sind.
Häufig gestellte Fragen
Wird CVE-2020-29574 aktiv ausgenutzt?
Ja, die CISA hat CVE-2020-29574 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 8.41 % (92.2. Perzentil) zeigt eine deutlich ueberdurchschnittliche Ausnutzungswahrscheinlichkeit. SQL Injection-Schwachstellen sind besonders leicht automatisierbar.
Was ist Sophos CyberoamOS?
CyberoamOS ist das Betriebssystem der Cyberoam Next-Generation Firewalls. Cyberoam wurde 2014 von Sophos uebernommen und die Produktlinie wurde durch die Sophos XG/XGS-Serie abgeloest. Cyberoam-Geraete befinden sich im End-of-Life-Status.
Gibt es einen Patch fuer CVE-2020-29574?
Sophos hat einen Fix fuer CyberoamOS bereitgestellt. Da die Geraete jedoch End-of-Life sind, empfiehlt sich dringend die Migration auf eine aktuelle Sophos Firewall-Plattform (XG oder XGS), die aktiv mit Sicherheitsupdates versorgt wird.
Warum ist eine SQL Injection in einer Firewall besonders gefaehrlich?
Firewalls speichern sensitive Netzwerkkonfigurationen, Zugangsdaten, VPN-Schluessel und Firewall-Regeln in ihrer Datenbank. Eine SQL Injection ermoeglicht den Zugriff auf all diese Daten und kann zur vollstaendigen Kompromittierung der Netzwerksicherheit fuehren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.