CVE-2022-1040

Um bypass de autenticação no User Portal e no Webadmin do Sophos Firewall permite que um atacante remoto pule a autenticação e execute código no próprio firewall. Este é o posicionamento de pior caso: o componente vulnerável é o appliance de segurança que fica na borda da rede, e o exploit não precisa de credenciais nem de interação do usuário. Contornar a autenticação no exato dispositivo que deveria impô-la, e então executar código nele, entrega o perímetro ao atacante.

Appliances de segurança de borda estão entre os ativos mais agressivamente visados na internet, precisamente porque suas superfícies de gerenciamento são expostas por design e um comprometimento rende uma posição de comando — dentro da fronteira de confiança, capaz de ver e redirecionar o tráfego, com persistência em um dispositivo que poucas equipes reimageiam ou reconstroem casualmente. RCE não autenticado em um firewall é exatamente o que tanto scanners em massa quanto atores direcionados correm para transformar em arma após a divulgação, e dispositivos de borda da Sophos têm um histórico de serem explorados na prática. Esta é uma falha do tipo largue-tudo para qualquer instalação afetada.

Nossa abordagem é a verificação de exposição primeiro, depois a detecção, porque o User Portal e o Webadmin são voltados para a internet por natureza. Identificaríamos imediatamente qualquer Sophos Firewall na v18.5 MR3 ou anterior, confirmaríamos se suas superfícies de gerenciamento/portal são acessíveis pela internet e restringiríamos esse acesso a fontes confiáveis como controle provisório enquanto aplicamos a correção do fornecedor. Dado o alvo, também caçaríamos sinais de comprometimento prévio, em vez de assumir que só a aplicação de patch é suficiente — um dispositivo de borda é o tipo de ativo que é comprometido antes de você terminar o inventário.