CVE-2023-1671

Una inyección de comandos previa a la autenticación en el manejador warn-proceed de Sophos Web Appliance permite a un atacante no autenticado pasar metacaracteres de shell a un parámetro que se usa para construir un comando del sistema. Como el manejador es accesible sin inicio de sesión, una sola solicitud HTTP manipulada ejecuta código arbitrario en el appliance con los privilegios del servicio afectado, dando al atacante un punto de apoyo en un dispositivo que inspecciona y hace de proxy del tráfico web de los usuarios.

Una puerta de enlace web segura es un objetivo de alto valor precisamente porque se sitúa en línea para la navegación saliente: termina las conexiones, ve el texto plano del tráfico que descifra y es de confianza para cada cliente detrás de ella, así que el control del appliance significa visibilidad y manipulación del tráfico web de una organización. Sophos Web Appliance además llegó al fin de su vida útil poco después de esta divulgación, lo que aumenta lo que está en juego para quien todavía lo ejecute, ya que la ausencia de soporte continuo no cerrará problemas futuros. Aplica la corrección para versiones anteriores a 4.3.10.4, mantén la interfaz de gestión fuera de redes no confiables y, si el producto ya superó su fin de vida útil en tu entorno, prioriza su retirada por encima del parcheo.