Ein nicht authentifizierter Angreifer aus dem Netz kann über das WebAdmin-Interface der Sophos SG UTM beliebige Betriebssystembefehle mit Root-Rechten ausführen und damit die gesamte Firewall übernehmen. Ursache ist eine Befehls-Injektion über den Session-Identifier (SID), der vom confd-Backend ungeprüft verarbeitet wird. Die Schwachstelle steht seit März 2022 im CISA-KEV-Katalog der aktiv ausgenutzten Lücken, ein öffentliches Exploit-Modul existiert.
Advisory als PDF herunterladenDas WebAdmin-Interface prüft den in einer Anfrage übergebenen Session-Identifier (SID) nicht ausreichend, bevor er an den Backend-Dienst confd weitergereicht wird. Dieser liest den SID aus dem Sessions-Verzeichnis /var/confd/var/sessions – ein nicht authentifizierter Angreifer kann den SID durch einen Shell-Befehl ersetzen, der daraufhin mit Root-Rechten ausgeführt wird. So wird die Authentifizierung umgangen und beliebiger Code auf der Appliance ausgeführt.
| SG-UTM-Version | Verwundbar | Fixversion |
|---|---|---|
| SG UTM 9.5 | < 9.511 MR11 | 9.511 MR11 |
| SG UTM 9.6 | < 9.607 MR7 | 9.607 MR7 |
| SG UTM 9.7 | < 9.705 MR5 | 9.705 MR5 |
Betroffen ist ausschließlich die klassische Sophos SG UTM (WebAdmin) in den genannten Versionen. Die Fixes wurden am 17. September 2020 veröffentlicht. Nicht betroffen sind die XG-Firewalls mit Sophos Firewall OS (SFOS) – bei ihnen greifen andere Advisories.
Regulatorischer Hinweis: Eine bestätigte Kompromittierung der Firewall oder ein daraus resultierender Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – WebAdmin vom WAN trennen, patchen, Kompromittierung ausschließen, Zugangsdaten rotieren.
9.511 MR11, 9.607 MR7 bzw. 9.705 MR5 im Einsatz ist und ob das WebAdmin-Interface über das WAN erreichbar ist.Management → WebAdmin Settings → WebAdmin Access Configuration → Allowed Networks ausschließlich interne Netze (z. B. Internal (LAN)) zulassen. Von Sophos als Behelfsmaßnahme benannt.9.511 MR11, 9.607 MR7 oder 9.705 MR5 (bzw. neuer) aktualisieren. Damit ist die Befehls-Injektion geschlossen.SID-WertKB-000042965Zur Einordnung: Die SID-basierte Injektion läuft über reguläre WebAdmin-Anfragen und ist ohne detaillierte Zugriffs-Logs schwer zu erkennen. Der zuverlässigste Weg ist die Sophos-Kompromittierungsprüfung (KB-000042965) in Verbindung mit der Auswertung Ihrer WebAdmin- und Firewall-Logs.
Wichtig: Der Angreifer erlangt Root-Rechte auf der Perimeter-Firewall – dem zentralen Sicherheits- und Übergangspunkt Ihres Netzes. Ein Patch schließt die Lücke, entfernt aber keine bereits eingerichtete Persistenz. Deshalb ist die Kompromittierungsprüfung ebenso wichtig wie das Update; im Zweifel ist die Appliance neu aufzusetzen.
Sophos Security Advisory sophos-sa-20200918-sg-webadmin-rce (KB-000042965) · NVD (CVSS 3.1: 9,8 / CVSS 2.0: 10,0, CWE-78) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 25.03.2022, Frist 15.04.2022) · Atredis Partners Deep-Dive · Rapid7 Metasploit (SID Command Injection). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte WebAdmin-Anfragen mit manipuliertem SID und daraus resultierende Root-Aktivität auf der UTM. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.