CVE-2023-1671
Sophos Web Appliance Command Injection Vulnerability
Beschreibung
CVE-2023-1671 ist eine kritische Command-Injection-Schwachstelle in der Sophos Web Appliance, die im warn-proceed-Handler vor der Authentifizierung ausgenutzt werden kann. Ein nicht authentifizierter Angreifer kann über das Netzwerk beliebigen Code auf betroffenen Systemen ausführen, die eine Version älter als 4.3.10.4 verwenden. Mit einem CVSS-Score von 9.8 (CRITICAL) stellt diese Schwachstelle ein maximales Sicherheitsrisiko dar. Die CISA hat CVE-2023-1671 in den KEV-Katalog aufgenommen, und der EPSS-Score von 94,3 % deutet auf eine nahezu sichere Ausnutzung hin. Öffentlicher Exploit-Code ist verfügbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sophos | web appliance | < 4.3.10.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172016/Sophos-Web-Appliance-4.3.10.4-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.sophos.com/en-us/security-advisories/sophos-sa-20230404-swa-rce(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-1671(US Government Resource)
Schwachstellentyp
CWE-77: Command Injection
Bei einer Command-Injection-Schwachstelle werden vom Benutzer bereitgestellte Eingaben unzureichend validiert und direkt in Systembefehle eingebettet. Im Fall der Sophos Web Appliance betrifft dies den warn-proceed-Handler, der Eingaben ohne angemessene Bereinigung an das Betriebssystem weiterleitet, wodurch ein Angreifer beliebige Befehle einschleusen und ausführen kann.
Mehr erfahren: CWE-77 — Command Injection
Auswirkungsanalyse
CVE-2023-1671 erreicht den maximalen CVSS-Score von 9.8 (CRITICAL) und stellt damit ein außerordentlich hohes Sicherheitsrisiko dar. Die Schwachstelle ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und die Angriffskomplexität ist niedrig — es sind keine speziellen Bedingungen notwendig. Authentifizierung: Es ist keine Authentifizierung erforderlich, was die Schwachstelle besonders gefährlich macht. Benutzerinteraktion: Es ist keine Benutzeraktion notwendig, sodass Angriffe vollständig automatisiert durchgeführt werden können. Vertraulichkeit (hoch): Angreifer können vertrauliche Daten auf dem System einsehen und exfiltrieren. Integrität (hoch): Durch die Ausführung beliebigen Codes können Systemdateien und Konfigurationen manipuliert werden. Verfügbarkeit (hoch): Das betroffene System kann vollständig kompromittiert oder außer Betrieb gesetzt werden. Der EPSS-Score von 94,3 % (99. Perzentil) unterstreicht die nahezu sichere Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-1671 über Packet Storm Security. Die CISA hat die aktive Ausnutzung dieser Schwachstelle in freier Wildbahn bestätigt und sie in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,3 % (99. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Ein Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt, die Verfügbarkeit öffentlicher Exploits und die bestätigte aktive Ausnutzung erfordern jedoch sofortiges Handeln.
Behebung
- Sofortiges Update durchführen: Aktualisieren Sie die Sophos Web Appliance auf Version 4.3.10.4 oder höher gemäß den Sophos Security Advisory. Falls ein Update nicht möglich ist, stellen Sie die Nutzung des Produkts ein, wie von der CISA empfohlen. Die Behebungsfrist war der 7. Dezember 2023.
- Netzwerkzugang einschränken: Beschränken Sie den Netzwerkzugriff auf die Sophos Web Appliance auf autorisierte Administratoren. Implementieren Sie Firewall-Regeln, die den Zugriff auf die Management-Schnittstelle auf vertrauenswürdige IP-Adressen begrenzen.
- Web Application Firewall (WAF) einsetzen: Setzen Sie WAF-Regeln ein, die Command-Injection-Muster im HTTP-Verkehr zur Web Appliance erkennen und blockieren.
- Protokolle und Indikatoren prüfen: Überprüfen Sie die Systemprotokolle der Web Appliance auf ungewöhnliche Befehle, verdächtige Prozesse oder nicht autorisierte Zugriffe. Suchen Sie nach Indicators of Compromise (IoCs), die auf eine bereits erfolgte Ausnutzung hindeuten.
- Eingabevalidierung langfristig sicherstellen: Stellen Sie sicher, dass alle Web-Appliance-Komponenten mit aktuellen Sicherheitspatches versorgt sind, und implementieren Sie Prozesse zur regelmäßigen Überprüfung und Aktualisierung.
Technische Details
CVE-2023-1671 ist eine Pre-Authentication Command-Injection-Schwachstelle im warn-proceed-Handler der Sophos Web Appliance. Der Schwachstellentyp CWE-77 (Command Injection) beschreibt eine Situation, in der eine Anwendung Benutzereingaben ohne ausreichende Validierung oder Bereinigung in Systembefehle einbettet. Im konkreten Fall der Sophos Web Appliance können Angreifer über den warn-proceed-Endpunkt manipulierte Eingaben senden, die vom System als Betriebssystembefehle interpretiert und ausgeführt werden. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass keinerlei Authentifizierung oder Benutzerinteraktion erforderlich ist und die Angriffskomplexität niedrig ist — ein Angreifer benötigt lediglich Netzwerkzugang zum verwundbaren Endpunkt. Die vollständige Kompromittierung des Systems hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit ist möglich.
Häufig gestellte Fragen
Wird CVE-2023-1671 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-1671 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,3 % zeigt eine nahezu sichere Ausnutzung an. Ein direkter Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-1671 betroffen?
Die Schwachstelle betrifft die Sophos Web Appliance in Versionen älter als 4.3.10.4. Alle Installationen, die nicht auf diese oder eine neuere Version aktualisiert wurden, sind verwundbar.
Wie kann CVE-2023-1671 behoben werden?
Aktualisieren Sie die Sophos Web Appliance auf Version 4.3.10.4 oder höher. Falls ein Update nicht möglich ist, empfiehlt die CISA, die Nutzung des Produkts einzustellen. Ergänzend sollten der Netzwerkzugriff auf die Management-Schnittstelle eingeschränkt und WAF-Regeln implementiert werden.
Wie schwerwiegend ist CVE-2023-1671?
CVE-2023-1671 ist mit einem CVSS-Score von 9.8 als CRITICAL eingestuft — die höchste Schweregradkategorie. Die Schwachstelle ermöglicht die vollständige Übernahme des betroffenen Systems ohne Authentifizierung. Der EPSS-Score von 94,3 % (99. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.