Ein nicht authentifizierter Angreifer aus dem Netz kann über die WebAdmin-Oberfläche von Cyberoam OS beliebige SQL-Befehle einschleusen und ausführen. Damit lässt sich der Datenbestand der Firewall auslesen und manipulieren – in beobachteten Fällen wurden dabei unbekannte Administratorkonten angelegt. Die Schwachstelle steht seit Februar 2025 im CISA-Katalog aktiv ausgenutzter Lücken; Cyberoam OS ist ein abgekündigtes Produkt.
Advisory als PDF herunterladenDie WebAdmin-Oberfläche von Cyberoam OS validiert in den betroffenen Ständen Eingaben nicht ausreichend, bevor sie in eine SQL-Abfrage einfließen. Ein nicht authentifizierter Angreifer aus dem Netz kann dadurch eigene SQL-Befehle in die Backend-Datenbank einschleusen, deren Inhalt auslesen und verändern – bis hin zum Anlegen eigener Administratorkonten.
| Cyberoam-OS-Stand | Verwundbar | Fixversion |
|---|---|---|
| Cyberoam OS · alle Geräte | ohne Hotfix (bis 04.12.2020) | Hotfix ab 04.12.2020 |
| Cyberoam OS · EOL-Versionen | 10.6.2 und neuer, ohne Hotfix | Hotfix ab 04.12.2020 |
| Empfohlene Ablösung | — | XG Firewall v17.5 / aktuelle Plattform |
Betroffen sind Cyberoam-OS-Geräte, auf die der von Sophos automatisch ausgerollte Hotfix nicht aufgespielt wurde. Der Hotfix wurde ab dem 04.12.2020 an alle unterstützten Geräte sowie an die abgekündigten Versionen 10.6.2 und neuer verteilt. Cyberoam OS ist End-of-Life – Geräte, die vom Netz getrennt oder ohne automatische Update-Anbindung betrieben wurden, können den Hotfix nicht erhalten haben und bleiben verwundbar.
Regulatorischer Hinweis: Ein bestätigter Abfluss von Zugangsdaten oder personenbezogenen Daten oder ein kompromittiertes Perimeter-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Zugriff einschränken, Hotfix-Stand prüfen, auf Kompromittierung untersuchen, abgekündigte Geräte ablösen.
System > Administration > Appliance Access die WAN-Zonen deaktivieren. Verwaltung nur noch aus vertrauenswürdigen internen Netzen zulassen.04.12.2020 ausgerollte Hotfix aufgespielt ist. Geräte, die zwischenzeitlich vom Netz getrennt waren oder ohne automatische Update-Anbindung liefen, gezielt auf den aktuellen Stand bringen.Zur Einordnung: Das Anlegen eines unbekannten Administratorkontos ist der von Sophos konkret benannte Kompromittierungshinweis. Da die SQL-Injection über reguläre Web-Anfragen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen – der zuverlässigste Indikator ist die Auswertung der WebAdmin-Zugriffs-Logs und ein vollständiges Audit der Firewall-Konten.
Wichtig: Der Hotfix wurde 2020 automatisch verteilt – das Risiko liegt heute vor allem bei Altgeräten, die zeitweise offline oder ohne Update-Anbindung waren und den Fix nie erhalten haben. Ein einmal angelegtes verstecktes Admin-Konto besteht auch nach dem Hotfix fort, solange es nicht gefunden und entfernt wird. Da Cyberoam OS End-of-Life ist, bleibt die Ablösung durch eine unterstützte Plattform die eigentliche Lösung.
Sophos Security Advisory SOPHOS-SA-20201210 (Cyberoam OS WebAdmin SQLi, veröffentlicht 10.12.2020, Hotfix ab 04.12.2020) · NVD (CVSS 3.1: 9,8 / CVSS 2.0: 7,5, CWE-89) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 06.02.2025, Frist 27.02.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Cyberoam OS ist End-of-Life – Ablösung durch eine unterstützte Plattform empfohlen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale, unauthentifizierte Anfragen an die Cyberoam-WebAdmin und das Auftauchen unbekannter Administratorkonten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.