Ein nicht authentifizierter Angreifer aus dem Netz kann über die HTTP/S-Bookmark-Funktion des User Portals einen Pufferüberlauf auslösen und beliebigen Code auf der Firewall ausführen. Betroffen sind alle Sophos XG Firewalls unter SFOS v17.x, deren User Portal auf der WAN-Seite erreichbar ist. Sophos hat die Lücke bereits im Juni 2020 mit einem Hotfix geschlossen; die CISA hat sie im Februar 2025 als aktiv ausgenutzt in den KEV-Katalog aufgenommen.
Advisory als PDF herunterladenDie Firewall verarbeitet in den betroffenen SFOS-17.x-Versionen die Eingaben der HTTP/S-Bookmark-Funktion des User Portals (clientless access) nicht sicher: Es fehlt die Längenprüfung beim Kopieren in einen Speicherpuffer. Ein nicht authentifizierter Angreifer kann dadurch einen klassischen Pufferüberlauf (CWE-120) auslösen und beliebigen Code im Kontext der Firewall ausführen – vorausgesetzt, das User Portal ist über das WAN erreichbar.
| SFOS-Version | Verwundbar | Fixversion |
|---|---|---|
| XG Firewall v17.x | 17.0 – v17.5 MR12 | Hotfix HF062020.1 |
| XG Firewall v18 | nicht betroffen | — |
Betroffen sind ausschließlich Sophos XG Firewalls unter SFOS v17.x bis einschließlich v17.5 MR12, deren User Portal auf dem WAN erreichbar ist. XG Firewall v18 ist von dieser Schwachstelle nicht betroffen. Sophos hat den Hotfix HF062020.1 automatisch an alle v17.x-Geräte verteilt, sofern die automatische Hotfix-Installation aktiviert war.
Regulatorischer Hinweis: Die vollständige Übernahme einer Perimeter-Firewall kann einen meldepflichtigen Sicherheitsvorfall auslösen; bei bestätigtem Abfluss personenbezogener Daten greift die DSGVO-Meldepflicht unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – User Portal vom WAN nehmen, Hotfix/Upgrade sicherstellen, Zugangsdaten rotieren, Kompromittierung ausschließen.
v17.x (bis v17.5 MR12) im Einsatz ist und ob das User Portal auf der WAN-Seite erreichbar ist. Nur diese Konstellation ist aus dem Internet angreifbar.HF062020.1 installiert ist (automatische Hotfix-Installation aktivieren). Empfohlen wird zusätzlich das Upgrade auf SFOS v18, das von dieser Schwachstelle nicht betroffen ist.Zur Einordnung: Ein spezifischer, öffentlich dokumentierter Netzwerk-IoC für diese Lücke liegt nicht belastbar vor. Der zuverlässigste Nachweis ist die Auswertung Ihrer Firewall- und User-Portal-Zugriffslogs sowie der Abgleich der Administrator- und Benutzerkonten mit dem Soll-Zustand.
Wichtig: Der Kern des Risikos ist die Erreichbarkeit des User Portals aus dem Internet: Ist es auf dem WAN exponiert und läuft SFOS v17.x ohne Hotfix, ist die Firewall unauthentifiziert übernehmbar. Deshalb sind das Abschalten des WAN-Zugriffs und das Zurücksetzen der Konten ebenso wichtig wie der Hotfix bzw. das Upgrade auf v18.
Sophos Security Advisory sophos-sa-20200625-xg-user-portal-rce (Hotfix HF062020.1, Upgrade auf v18) · NVD CVE-2020-15069 (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; CVSS 2.0: 7,5; CWE-120) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 06.02.2025, Frist 27.02.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an das User Portal der XG Firewall und ungewöhnliche Aktivität der Firewall im internen Netz. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.