CVE-2022-3236
Sophos Firewall Code Injection Vulnerability
Beschreibung
CVE-2022-3236 ist eine Code-Injection-Schwachstelle in den Benutzerportal- und Webadmin-Schnittstellen der Sophos Firewall, die einem nicht authentifizierten Angreifer die Ausführung beliebigen Codes auf dem Gerät ermöglicht. Der EPSS-Score von 92,40 % (99,73. Perzentil) belegt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die CISA hat CVE-2022-3236 am 23. September 2022 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | firewall | <= 19.0.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-3236(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
CVE-2022-3236 ist eine Code-Injection-Schwachstelle in den Management-Schnittstellen der Sophos Firewall. Das Benutzerportal und Webadmin bereinigen Benutzereingaben nicht ordnungsgemäß, bevor sie in Codeausführungskontexten verwendet werden.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code ('Code Injection')
Auswirkungsanalyse
CVE-2022-3236 ermöglicht nicht authentifizierte Remote-Code-Execution auf Sophos-Firewall-Appliances über das Benutzerportal und Webadmin. Die Schwachstelle ist mit geringer Komplexität aus dem Netzwerk ausnutzbar, ohne Authentifizierung oder Benutzerinteraktion. Vertraulichkeit, Integrität und Verfügbarkeit sind kritisch betroffen: Eine kompromittierte Firewall gewährt Kontrolle über den gesamten Netzwerkverkehr, Zugriff auf VPN-Zugangsdaten und einen Einstiegspunkt ins interne Netzwerk. Der EPSS-Score von 92,40 % bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-3236 bestätigt und die Schwachstelle am 23. September 2022 in den KEV-Katalog aufgenommen (Behebungsfrist: 14. Oktober 2022). Sophos berichtete über gezielte Angriffe gegen Organisationen, vornehmlich in Südasien. Der EPSS-Score von 92,40 % (99,73. Perzentil) belegt eine sehr hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als unbekannt eingestuft.
Behebung
- Sophos-Hotfix anwenden: Überprüfen Sie, ob der automatische Hotfix eingespielt wurde. Aktualisieren Sie manuell auf die neueste Firmware, falls automatische Updates deaktiviert sind.
- Management-Zugriff einschränken: Stellen Sie sicher, dass Benutzerportal und Webadmin nicht aus dem Internet erreichbar sind.
- WAN-seitige Management-Schnittstellen deaktivieren: Nutzen Sie Sophos Central für die Fernverwaltung statt lokale Web-Schnittstellen.
- Kompromittierungsindikatoren prüfen: Überprüfen Sie Firewall-Protokolle auf ungewöhnliche Authentifizierungsversuche und Konfigurationsänderungen.
- Netzwerksegmentierung umsetzen: Isolieren Sie die Firewall-Management-Schnittstellen in einem dedizierten Managementnetzwerk.
Technische Details
CVE-2022-3236 betrifft die Benutzerportal- und Webadmin-Schnittstellen der Sophos Firewall. Die Code-Injection-Schwachstelle besteht in der unzureichenden Bereinigung von Benutzereingaben, die es ermöglicht, über speziell gestaltete Anfragen Code einzuschleusen, der vom serverseitigen Anwendungsframework ausgeführt wird. Die Schwachstelle ist ohne Authentifizierung über das Benutzerportal zugänglich, das häufig für VPN- und Self-Service-Funktionalität im Internet exponiert ist. Die Ausnutzung führt zu Codeausführung mit den Rechten der Firewall-Anwendung, die typischerweise Root-Zugang zum Betriebssystem besitzt.
Häufig gestellte Fragen
Wird CVE-2022-3236 aktiv ausgenutzt?
Ja, CVE-2022-3236 wurde aktiv ausgenutzt. Sophos bestätigte gezielte Angriffe gegen Organisationen in Südasien. Die CISA nahm die Schwachstelle am 23. September 2022 in den KEV-Katalog auf.
Welche Produkte sind von CVE-2022-3236 betroffen?
Betroffen sind Sophos-Firewall-Versionen vor dem Hotfix, einschließlich v19.0 MR1 und älter. Betroffen sind das Benutzerportal und die Webadmin-Schnittstelle.
Wie behebe ich CVE-2022-3236?
Überprüfen Sie, ob der automatische Sophos-Hotfix eingespielt wurde. Aktualisieren Sie auf die neueste Firmware und schränken Sie den Management-Zugriff auf vertrauenswürdige Netzwerke ein.
Wie schwerwiegend ist CVE-2022-3236?
CVE-2022-3236 ist eine kritische Code-Injection-Schwachstelle mit einem EPSS-Score von 92,40 % (99,73. Perzentil). Sie ermöglicht nicht authentifizierte Remote-Code-Execution auf Sophos-Firewall-Appliances.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.