Ancora 4.000 dispositivi Sophos Firewall sono vulnerabili alla RCE pre-auth di settembre

Oltre 4.000 dispositivi “Sophos Firewall” esposti su Internet risultano vulnerabili ad un bug critico di esecuzione remota del codice (RCE).

Sophos ha rivelato in precedenza questo difetto di code injection, monitorato con il CVE-2022-3236. Tale difetto è sfruttabile utilizzando il portale utenti Webadmin di Sophos Firewall. L’azienda ha rilasciato una patch di sicurezza a settembre ed ha avvertito all’epoca che il bug veniva sfruttato in attacchi contro organizzazioni dell’Asia meridionale.

Gli hotfix di settembre sono automatici e sono stati implementati sulle istanze interessate (v19.0 MR1/19.0.1 e precedenti). Risultano quindi ancora da aggiornare quei firewall dove gli amministratori hanno spento l’auto update per qualche motivazione tecnica.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Le istanze di Sophos Firewall che invece eseguivano versioni precedenti del prodotto, devono essere aggiornate manualmente. Questo per garantire di ricevere automaticamente l’hotfix per il CVE-2022-3236.

Gli amministratori che non sono in grado di applicare le patch, possono rimuovere l’accesso al Portale utenti Webadmin disabilitando il servizio.

Cosa è stato rilevato

VulnCheck Jacob Baines, un ricercatore di sicurezza informatica, ha scoperto effettuando una scansione che su oltre 88.000 istanze, circa il 6% non hanno ancora ricevuto una patch.

Questo sta a significare che più di 4.000 firewall ad oggi possono essere compromessi.

“Oltre il 99% dei Sophos Firewall accessibili da Internet non sono stati aggiornati a versioni contenenti la correzione ufficiale per il CVE-2022-3236”, ha affermato Baines .

Fortunatamente, nonostante sia già stato sfruttato come zero-day, un exploit proof-of-concept per il CVE-2022-3236 deve ancora essere pubblicato online.

Baines è stato in grado di riprodurre l’exploit dalle informazioni tecniche condivise da Zero Day Initiative (ZDI) di Trend Micro. E’ quindi probabile che anche gli attori delle minacce saranno presto in grado di farlo.

Ma nella gravità del problema c’è un piccolo vantaggio

Baines ha anche aggiunto che lo sfruttamento di massa probabilmente essere ostacolato dal fatto che il client Web per impostazione predefinita chiede “di risolvere un captcha durante l’autenticazione”.

Per aggirare questa limitazione e raggiungere il codice vulnerabile, gli aggressori dovrebbero includere un risolutore automatico di CAPTCHA.

La correzione dei bug di Sophos Firewall è di fondamentale importanza. Infatti non sarebbe la prima volta che una tale vulnerabilità viene sfruttata attivamente per violare le organizzazioni.

pertanto per chi ancora non ha effettuato l’aggiornamento, è consigliabile di effettuarlo immediatamente.

Sophos scrive a Red Hot Cyber

Su questo articolo, abbiamo ricevuto una mail da parte dell’ufficio stampa di Sophos che ha riportato quanto segue:

“Sophos ha provveduto immediatamente a risolvere questo problema con un hotfix automatico inviato nel settembre 2022. Abbiamo inoltre avvisato gli utenti che non ricevono hotfix automatici di applicare l’aggiornamento autonomamente.  Il restante 6% delle versioni che si interfacciano con Internet, secondo le stime di Baines nel suo articolo, utilizza versioni vecchie e non supportate del software. Questa è una buona occasione per ricordare a questi utenti, così come a tutti gli utenti di qualsiasi tipo di software obsoleto, di seguire le migliori pratiche di sicurezza e di aggiornare alla versione più recente disponibile, come Sophos fa regolarmente con i suoi clienti.”

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.