CVE-2022-1040
Sophos Firewall Authentication Bypass Vulnerability
Beschreibung
CVE-2022-1040 ist eine Authentifizierungsumgehungs-Schwachstelle in den User Portal- und Webadmin-Oberflächen der Sophos Firewall, die es einem entfernten Angreifer ermöglicht, die Authentifizierung zu umgehen und unbefugten Zugriff auf die Verwaltungskonsole zu erlangen. Nach der Authentifizierungsumgehung kann der Angreifer potenziell beliebigen Code auf dem Firewall-Gerät ausführen. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 97,0 % (99,8. Perzentil) wird diese Schwachstelle umfassend von Bedrohungsakteuren angegriffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | sfos | <= 18.5.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/168046/Sophos-XG115w-Firewall-17.0.10-MR-10-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/51006(Exploit, Third Party Advisory, VDB Entry)
- https://www.sophos.com/en-us/security-advisories/sophos-sa-20220325-sfos-rce(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-1040(US Government Resource)
Schwachstellentyp
CWE-287: Unzureichende Authentifizierung
Unzureichende Authentifizierung tritt auf, wenn eine Anwendung die Identität eines Benutzers nicht ordnungsgemäß überprüft, bevor sie Zugriff auf geschützte Ressourcen gewährt. Bei CVE-2022-1040 enthalten die User Portal- und Webadmin-Komponenten der Sophos Firewall eine Authentifizierungsumgehungsschwachstelle, die Angreifern den Zugriff auf die Verwaltungsoberfläche ohne gültige Anmeldeinformationen ermöglicht. Weitere Details unter CWE-287.
Auswirkungsanalyse
Die Ausnutzung dieser Schwachstelle gewährt Angreifern vollständigen administrativen Zugriff auf die Sophos Firewall, die typischerweise als primäre Sicherheitsgrenze für das Netzwerk einer Organisation dient. Ein Angreifer, der die Firewall kontrolliert, kann den gesamten Netzwerkverkehr abfangen und inspizieren, Firewall-Regeln ändern, um unbefugten Zugriff zu ermöglichen, VPN-Verbindungen für persistenten Backdoor-Zugriff erstellen und Sicherheitsfunktionen deaktivieren. Die strategische Position von Firewalls am Netzwerkperimeter bedeutet, dass ihre Kompromittierung Angreifern den idealen Ausgangspunkt für Aufklärung, Datenexfiltration und weitere Eindringversuche in das interne Netzwerk bietet.
Exploit-Reifegrad
CVE-2022-1040 wurde am 31. März 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung in gezielten Angriffen bestätigt. Der EPSS-Score von 97,0 % (99,8. Perzentil) spiegelt weit verbreitete Ausnutzungsaktivitäten wider. Sophos bestätigte, dass die Schwachstelle in gezielten Angriffen gegen bestimmte Organisationen in der Region Südasien ausgenutzt wurde. Die Ausnutzung wurde sophistizierten Bedrohungsakteuren zugeschrieben, die in der Lage sind, Firewall-Kompromittierungen für persistenten Netzwerkzugang zu nutzen.
Behebung
- Wenden Sie den Sophos Firewall-Hotfix an oder aktualisieren Sie sofort auf eine gepatchte Firmware-Version, wie vom CISA-KEV-Katalog gefordert. Sophos hat Notfall-Patches für diese Schwachstelle veröffentlicht.
- Falls der Hotfix nicht sofort angewendet werden kann, beschränken Sie den Zugriff auf die User Portal- und Webadmin-Oberflächen von nicht vertrauenswürdigen Netzwerken.
- Aktivieren Sie die Einstellung "Automatische Installation von Hotfixes erlauben" in der Sophos Firewall, um kritische Sicherheitsupdates automatisch zu erhalten.
- Überprüfen Sie Firewall-Konfiguration und -Logs auf Anzeichen unbefugter Zugriffe oder Konfigurationsänderungen.
- Implementieren Sie Out-of-Band-Management für die Firewall-Administration und stellen Sie sicher, dass die Verwaltungsoberfläche nur über ein dediziertes Management-Netzwerk zugänglich ist.
Technische Details
Die Schwachstelle befindet sich in der Authentifizierungsverarbeitungslogik sowohl der User Portal- als auch der Webadmin-Weboberflächen der Sophos Firewall. Ein Fehler im Authentifizierungsvalidierungsprozess ermöglicht es einem entfernten Angreifer, spezifische Anfragen zu erstellen, die den Authentifizierungsmechanismus vollständig umgehen. Nach der Umgehung der Authentifizierung erhält der Angreifer Zugriff auf die vollständige Verwaltungsoberfläche und kann alle Aktionen durchführen, die legitimen Administratoren zur Verfügung stehen. Dies umfasst das Ändern von Firewall-Regeln, die Konfiguration von VPN-Zugang und die Ausführung von Befehlen auf dem zugrunde liegenden Betriebssystem. Die Schwachstelle betrifft die webbasierten Komponenten und kann von jedem Angreifer ausgenutzt werden, der die User Portal- oder Webadmin-Oberfläche über das Netzwerk erreichen kann.
Häufig gestellte Fragen
Was ist CVE-2022-1040?
CVE-2022-1040 ist eine Authentifizierungsumgehungs-Schwachstelle in den User Portal- und Webadmin-Oberflächen der Sophos Firewall. Sie ermöglicht es entfernten Angreifern, den Login-Mechanismus zu umgehen und vollen administrativen Zugriff auf die Firewall ohne gültige Anmeldeinformationen zu erlangen.
Welche Sophos-Produkte sind betroffen?
Die Schwachstelle betrifft Sophos Firewall-Versionen vor v18.5 MR3 (18.5.3). Sowohl die User Portal- als auch die Webadmin-Oberfläche sind betroffen. Sophos hat Hotfixes veröffentlicht, die automatisch angewendet werden, wenn automatische Updates aktiviert sind.
Kann diese Schwachstelle aus dem Internet ausgenutzt werden?
Ja, wenn die User Portal- oder Webadmin-Oberfläche aus dem Internet erreichbar ist, kann die Schwachstelle remote ausgenutzt werden. Viele Organisationen machen das User Portal für Remote-VPN-Zugriff zugänglich, was diesen Angriffsvektor besonders relevant macht.
Was sollte ich tun, wenn meine Firewall möglicherweise kompromittiert wurde?
Bei Verdacht auf Kompromittierung wenden Sie sofort den Hotfix an, ändern Sie alle administrativen Anmeldeinformationen, überprüfen Sie Firewall-Regeln und VPN-Konfigurationen auf unbefugte Änderungen, untersuchen Sie Logs auf verdächtige Aktivitäten und erwägen Sie den Neuaufbau der Firewall aus einer sauberen Installation, wenn die Kompromittierung bestätigt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.