Sophos SG UTM útvonalbejárási hibája hitelesítést nem igénylő támadóknak teszi lehetővé, hogy rootként kódot futtassanak (CVE-2026-118633)

Mi történt

CVE-2026-118633 egy útvonalbejárási sérülékenység a Sophos SG UTM rendszerben. A sérülékenység hálózaton keresztül hitelesítést nem igénylő támadó számára is elérhető, és nem igényel felhasználói beavatkozást. A sérülékeny állapot akkor áll fenn, ha az e-mail-proxy be van kapcsolva, és a vizsgálat aktív.

A CVE-rekord szerint a sikeres kihasználás nem egyetlen, egyszerű kérésből áll: a támadónak több percen át fenn kell tartania az ismételt támadásokat ahhoz, hogy megnyerje a versenyhelyzetet. Ha ez sikerül, a támadó tetszőleges kódot futtathat root felhasználóként az UTM-en, ami nagy hatással van az eszköz bizalmasságára, sértetlenségére és rendelkezésre állására. A CVSS 4.0 szerinti pontszám 9,2, ami kritikusnak minősül.

A CVE-rekord és a Sophos biztonsági közleménye nem közlik, hogy a hibát éles környezetben aktívan kihasználják.

Kit érint

Érintettek a Sophos SG UTM 9.724-es verziójáig bezárólag minden verzió; a CVE-rekord az összes verziót érintettként írja le. Ez jellemzően az internet felől elérhető, egyesített fenyegetéskezelő (UTM) eszköz, és a sérülékeny útvonal az e-mail-proxy funkcióban található. A probléma csak akkor áll fenn, ha az e-mail-proxy vizsgálata engedélyezett.

A Sophos az UTM-et életciklusa végén járó termékként írja le, és sem a CVE-rekord, sem a biztonsági közlemény nem ad meg javított verziót.

Mit kell most tenni

A CVE-rekord és a Sophos biztonsági közleménye nem adnak meg javított verziót. A CVE-rekord szerint az UTM életciklusa végén jár, és a javításokat manuálisan kellene alkalmazni, de nem adtak meg sem javításazonosítót, sem kiadást.

1. Azonosítsa az összes még aktívan használt Sophos SG UTM-eszközt. Ellenőrizze, hogy az e-mail-proxy be van-e kapcsolva, és hogy a vizsgálat aktív-e.
2. Azonnal csökkentse az elérhetőséget. Ha az e-mail-proxy vizsgálatára nincs szükség, kapcsolja ki, vagy távolítsa el az e-mail-proxy szerepkört. Korlátozza az UTM felügyeleti és proxy-felületeinek elérését a nem megbízható hálózatok felől.
3. Figyelje ezeket az eszközöket az e-mail-proxy felé irányuló, szokatlanul nagy mennyiségű ismétlődő kérésekre, amelyeket a CVE-rekord a versenyhelyzethez köt.
4. Vizsgálja felül az életciklusa végén járó Sophos UTM-eszközök kivezetését vagy migrálását, mert a megszokott terméktámogatás és a biztonsági javítások rendszeres kiadása nem feltételezhető.

Hogyan észlelhető

A Sophos biztonsági közleménye nem sorol fel kompromittálódásra utaló jeleket. Összpontosítson az elérhetőségre: vegyen számba minden internet felől elérhető Sophos SG UTM-eszközt, és erősítse meg, melyiknél van engedélyezve az e-mail-proxy vizsgálata. Mivel a CVE-rekord szerint a versenyhelyzet kihasználásához több percen át fenn kell tartani az ismételt támadásokat, az e-mail-proxy felé irányuló, szokatlanul nagy mennyiségű ismétlődő kérés indokolhatja a kivizsgálást.

A javításon túl

Az ilyen hiba éppen úgy változtathat egy elöregedett peremvédelmi eszközt root szintű behatolási ponttá. A Spirity Virtuális CISO szolgáltatása (vCISO) segíthet azonosítani az internet felől elérhető és támogatásból kikerült biztonsági eszközöket, mielőtt egy biztonsági közlemény hívná fel rájuk a figyelmet, a Menedzselt kiberbiztonsági felügyelet (MDR) pedig észlelheti azt a tevékenységet, amely a root parancssor megszerzését követi a biztonsági átjárón.