Eine nicht authentifizierte SQL-Injection in der Sophos XG Firewall erlaubt einem Angreifer aus dem Netz, lokal gespeicherte Zugangsdaten – Nutzernamen sowie gesalzene SHA256-Hashes der Admin- und Portal-Konten – auszulesen und Schadcode auszuführen. Die Lücke wurde bereits vor ihrer Veröffentlichung als Zero-Day für die Asnarök-Kampagne ausgenutzt: Die eingeschleuste Malware sammelte Zugangs- und VPN-Daten, verschlüsselte sie und versuchte, sie an einen externen Server zu übertragen. Verwundbar ist jedes Gerät, dessen Admin-Oberfläche (HTTPS) oder User-Portal auf der WAN-Zone erreichbar war.
Advisory als PDF herunterladenSFOS neutralisiert in den betroffenen Versionen Eingaben an einem exponierten Web-Endpunkt nicht ausreichend, bevor sie in eine SQL-Abfrage einfließen. Ein nicht authentifizierter Angreifer kann dadurch eigene SQL-Befehle einschleusen, lokal gespeicherte Zugangsdaten auslesen und die Injection zur Fernausführung von Schadcode ausweiten. Voraussetzung ist, dass die Administrations-Oberfläche (HTTPS) oder das User-Portal auf der WAN-Zone erreichbar ist.
| SFOS-Version | Verwundbar | Fixversion |
|---|---|---|
| SFOS 18.0 | vor Hotfix 25.04.2020 | Hotfix (25.04.2020) |
| SFOS 17.5 | vor Hotfix 25.04.2020 | Hotfix (25.04.2020) |
| SFOS 17.1 | vor Hotfix 25.04.2020 | Hotfix (25.04.2020) |
| SFOS 17.0 | vor Hotfix 25.04.2020 | Hotfix (25.04.2020) |
| Ältere / nicht unterstützte SFOS | betroffen | auf unterstützte Version aktualisieren |
Sophos hat den Fix am 25.04.2020 als Hotfix ausgeliefert, der auf allen unterstützten SFOS-Versionen mit aktivierter automatischer Hotfix-Installation selbsttätig eingespielt wurde. Geräte mit deaktivierter Automatik oder auf nicht mehr unterstützten Versionen sind nur nach manuellem Update bzw. Upgrade geschützt. Betroffen war ausschließlich, wessen Admin-Oberfläche (HTTPS) oder User-Portal auf der WAN-Zone exponiert war.
Regulatorischer Hinweis: Ein bestätigter Abfluss von Zugangsdaten oder personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition beenden, Hotfix/Update sicherstellen, Zugangsdaten rotieren, Kompromittierung ausschließen.
25.04.2020 eingespielt ist; andernfalls manuell nachziehen. Nicht mehr unterstützte SFOS-Versionen auf eine aktuelle, unterstützte Version aktualisieren.grep 38.27.99.69 /log/*.log38.27.99.69 (Asnarök-Datenabfluss)Zur Einordnung: Die von Sophos nach dem Hotfix eingeblendete Kompromittierungs-Anzeige ist der zuverlässigste Hinweis. Da die eigentliche SQL-Injection über reguläre Web-Anfragen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen – werten Sie zusätzlich Firewall-, Web- und Authentifizierungs-Logs aus.
Wichtig: Der Kern des Risikos liegt nicht allein in der Codeausführung, sondern in den abgeflossenen Geheimnissen: Sind Admin-, Portal- und VPN-Zugangsdaten einmal exfiltriert, bleibt der Zugang auch nach dem Hotfix bestehen. Deshalb ist die Rotation aller betroffenen Zugangsdaten ebenso wichtig wie das Update – und die Admin-Oberfläche gehört dauerhaft aus dem offenen Netz.
Sophos Security Advisory / KB (Asnarök, KB-000039388) und Sophos-Blog „Asnarök“ (26.04.2020) · NVD (CVSS 3.1: 9,8 / CVSS 2.0: 7,5, CWE-89) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 03.11.2021, Frist 03.05.2022) · Rapid7 Analyse. Angaben nach bestem Wissen zum Stand 14.07.2026; Fix (Hotfix vom 25.04.2020 bzw. Upgrade auf eine unterstützte Version) gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Ausgehende Verbindungen zur Asnarök-Exfiltrations-IP sowie anomale Anfragen an Admin-Oberfläche und User-Portal. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.