SECURITY ADVISORY

Unauthentifizierte Befehls­einschleusung in Sophos Web Appliance

Ein nicht authentifizierter Angreifer aus dem Netz kann über den „Warn-Proceed"-Handler der Sophos Web Appliance eigene Betriebssystembefehle einschleusen und beliebigen Code ausführen – ganz ohne Anmeldung. Damit steht die Appliance und der über sie laufende Web-Verkehr offen. Die Schwachstelle wird seit November 2023 aktiv ausgenutzt und steht im CISA-KEV-Katalog. Erschwerend kommt hinzu, dass die Sophos Web Appliance bereits am 20. Juli 2023 das Ende ihrer Lebensdauer erreicht hat.

CVE-ID

CVE-2023-1671

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Sophos

Produkt

Sophos Web Appliance (SWA)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Der „Warn-Proceed"-Handler der Sophos Web Appliance verarbeitet Anfragen an den Endpunkt /index.php?c=blocked&action=continue. Der dabei übergebene, Base64-kodierte Parameter user_encoded wird dekodiert und an ein Shell-Kommando weitergereicht, ohne ausreichend neutralisiert zu werden. Ein nicht authentifizierter Angreifer kann so aus den Argumenten ausbrechen und eigene Betriebssystembefehle einschleusen, die mit den Rechten des Dienst-Nutzers spiderman ausgeführt werden.

Angriffskette

  1. SWA exponiert – das Web-Interface der Appliance ist über das Netz erreichbar
  2. Warn-Proceed ansprechen – unauthentifizierte POST-Anfrage an /index.php?c=blocked&action=continue
  3. Befehl einschleusen – der Base64-kodierte user_encoded-Parameter bricht aus dem Shell-Argument aus
  4. Codeausführung – beliebige Befehle als Nutzer spiderman, z. B. Reverse Shell und Übernahme der Appliance

Betroffene Versionen und Fixes

SWA-VersionVerwundbarFixversion
Sophos Web Appliance< 4.3.10.44.3.10.4
SWA (nach 20.07.2023)End-of-Life – keine UpdatesMigration

Betroffen sind alle Versionen der Sophos Web Appliance unterhalb 4.3.10.4. Der Fix wird laut Sophos automatisch verteilt – vorausgesetzt, die Appliance ist online und der Auto-Update-Mechanismus aktiv. Entscheidend: Die Sophos Web Appliance hat am 20. Juli 2023 ihr Lebensende erreicht und erhält seither keine Sicherheits- oder Software-Updates mehr. Eine dauerhafte Absicherung ist nur durch Migration auf ein unterstütztes Produkt möglich.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 04.04.2023 – Sophos veröffentlicht Advisory (sophos-sa-20230404-swa-rce), Fix 4.3.10.4 automatisch verteilt
  • 20.07.2023 – Sophos Web Appliance erreicht das Ende der Lebensdauer (End-of-Life)
  • 16.11.2023 – CISA nimmt CVE-2023-1671 in den KEV-Katalog auf – aktive Ausnutzung
  • Nov. 2023 – VulnCheck veröffentlicht technische Analyse und PoC-Details, öffentlicher Exploit verfügbar
  • 07.12.2023 – KEV-Frist für US-Behörden zum Patchen/Abschalten

Maßnahmenplan

In dieser Reihenfolge – Erreichbarkeit prüfen, Netzzugriff abriegeln, Fixstand verifizieren, Kompromittierung ausschließen, Migration einleiten.

  • Sofort: Erreichbarkeit prüfen / vom Internet trennen
  • Kurzfristig: Fixstand 4.3.10.4 verifizieren
  • Parallel: Threat Hunting / IoC-Abgleich & Migration
  1. Betroffenheit feststellen
    Prüfen, ob eine Sophos Web Appliance im Einsatz ist und ob ihr Web-Interface über das Netz – insbesondere aus dem Internet – erreichbar ist. Als reines Web-Gateway ist die Appliance häufig genau dort exponiert, wo sie am verwundbarsten ist.
  2. Sofort mitigieren (Erreichbarkeit)
    Die Appliance hinter eine Firewall stellen und den Zugriff auf das Verwaltungs-/Web-Interface strikt auf autorisierte Hosts und Netze begrenzen – keinesfalls aus dem öffentlichen Internet erreichbar. Von Sophos ausdrücklich empfohlen.
  3. Fixstand verifizieren
    Sicherstellen, dass die Appliance auf 4.3.10.4 oder neuer läuft. Der Fix wird per Auto-Update verteilt – das gilt aber nur für Instanzen, die online und mit aktivem Update-Mechanismus betrieben werden. Offline- oder stillgelegte Geräte manuell abgleichen.
  4. Kompromittierung ausschließen
    Die Zugriffslogs auf verdächtige Anfragen an den anfälligen Endpunkt durchsuchen und nach ungewöhnlichen Prozessen der Appliance Ausschau halten. Bei Treffern von einer Kompromittierung ausgehen und den Vorfallsprozess starten.
    grep 'c=blocked&action=continue' /log/ui_access_log
  5. Migration einleiten
    Da die Sophos Web Appliance seit dem 20.07.2023 End-of-Life ist und keine weiteren Sicherheitsupdates erhält, den Umstieg auf ein unterstütztes Web-Protection-Produkt planen. Ein einzelner Patch schützt nicht vor künftigen, dann ungefixten Lücken.

Kompromittierungs-Indikatoren

  • Auffällige Anfrage: POST auf /index.php?c=blocked&action=continue
    mit Base64-Wert im user_encoded-Parameter
  • Log-Spur: Passende Einträge in /log/ui_access_log
    aus fremden oder unerwarteten Quellen
  • Prozess-Spur: Shell-/Reverse-Shell-Aktivität als Nutzer spiderman
    im Umfeld von ftsblistpack / sblistpack

Zur Einordnung: Die Log-Auswertung ist der zuverlässigste Nachweis: Die Ausnutzung läuft über eine regulär aussehende Web-Anfrage und ist ohne Zugriffs-Logs schwer zu erkennen. Prüfen Sie /log/ui_access_log auf Anfragen an den Warn-Proceed-Endpunkt und korrelieren Sie mit ungewöhnlicher Prozess- und Netzaktivität der Appliance.

Wichtig: Der Kern des Risikos liegt in der Kombination aus aktiver Ausnutzung und End-of-Life: Ein einzelner automatischer Fix schließt zwar diese Lücke, doch die Sophos Web Appliance erhält seit dem 20.07.2023 grundsätzlich keine Sicherheitsupdates mehr. Wer sie weiterbetreibt, bleibt gegenüber künftigen Schwachstellen dauerhaft ungeschützt – die einzige nachhaltige Maßnahme ist die Migration auf ein unterstütztes Produkt.

Empfehlung für die Geschäftsleitung

  • Sophos Web Appliance heute vom Internet trennen und hinter eine Firewall stellen; Fixstand 4.3.10.4 verifizieren lassen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung nach NIS-2 / DSGVO.
  • Migration auf ein unterstütztes Web-Protection-Produkt einplanen; die Appliance ist seit Juli 2023 End-of-Life.

Primärquellen

Sophos Security Advisory sophos-sa-20230404-swa-rce (CVE-2023-1671) · NVD (CVSS 3.1: 9,8 / KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-77; CVSS 4.0 nicht bewertet) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 16.11.2023, Frist 07.12.2023) · VulnCheck Attack Research (technische Analyse, PoC). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an den Warn-Proceed-Endpunkt der Appliance und darauf folgende Shell-/Reverse-Shell-Aktivität als Nutzer spiderman. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.