CVE-2023-1671

Uma injeção de comando pré-autenticação no handler warn-proceed do Sophos Web Appliance permite que um atacante não autenticado passe metacaracteres de shell para um parâmetro usado na montagem de um comando de sistema. Como o handler é acessível sem login, uma única requisição HTTP forjada executa código arbitrário no appliance com os privilégios do serviço afetado, dando ao atacante um ponto de apoio em um dispositivo que inspeciona e faz proxy do tráfego web dos usuários.

Um secure web gateway é um alvo de alto valor justamente porque fica em linha para a navegação de saída: ele termina conexões, vê o texto plano do tráfego que descriptografa e é confiável para todos os clientes por trás dele, então o controle do appliance significa visibilidade e manipulação do tráfego web de uma organização. O Sophos Web Appliance, além disso, chegou ao fim de vida pouco depois desta divulgação, o que aumenta o risco para quem ainda o executa, já que a ausência de suporte contínuo não fecha problemas futuros. Aplique a correção para versões anteriores a 4.3.10.4, mantenha a interface de gerenciamento fora de redes não confiáveis e, se o produto estiver além do fim de vida no seu ambiente, priorize desativá-lo em vez de aplicar patch.