Ein nicht authentifizierter Angreifer aus dem Netz kann über den „Warn-Proceed"-Handler der Sophos Web Appliance eigene Betriebssystembefehle einschleusen und beliebigen Code ausführen – ganz ohne Anmeldung. Damit steht die Appliance und der über sie laufende Web-Verkehr offen. Die Schwachstelle wird seit November 2023 aktiv ausgenutzt und steht im CISA-KEV-Katalog. Erschwerend kommt hinzu, dass die Sophos Web Appliance bereits am 20. Juli 2023 das Ende ihrer Lebensdauer erreicht hat.
Advisory als PDF herunterladenDer „Warn-Proceed"-Handler der Sophos Web Appliance verarbeitet Anfragen an den Endpunkt /index.php?c=blocked&action=continue. Der dabei übergebene, Base64-kodierte Parameter user_encoded wird dekodiert und an ein Shell-Kommando weitergereicht, ohne ausreichend neutralisiert zu werden. Ein nicht authentifizierter Angreifer kann so aus den Argumenten ausbrechen und eigene Betriebssystembefehle einschleusen, die mit den Rechten des Dienst-Nutzers spiderman ausgeführt werden.
/index.php?c=blocked&action=continueuser_encoded-Parameter bricht aus dem Shell-Argument ausspiderman, z. B. Reverse Shell und Übernahme der Appliance| SWA-Version | Verwundbar | Fixversion |
|---|---|---|
| Sophos Web Appliance | < 4.3.10.4 | 4.3.10.4 |
| SWA (nach 20.07.2023) | End-of-Life – keine Updates | Migration |
Betroffen sind alle Versionen der Sophos Web Appliance unterhalb 4.3.10.4. Der Fix wird laut Sophos automatisch verteilt – vorausgesetzt, die Appliance ist online und der Auto-Update-Mechanismus aktiv. Entscheidend: Die Sophos Web Appliance hat am 20. Juli 2023 ihr Lebensende erreicht und erhält seither keine Sicherheits- oder Software-Updates mehr. Eine dauerhafte Absicherung ist nur durch Migration auf ein unterstütztes Produkt möglich.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit prüfen, Netzzugriff abriegeln, Fixstand verifizieren, Kompromittierung ausschließen, Migration einleiten.
4.3.10.4 oder neuer läuft. Der Fix wird per Auto-Update verteilt – das gilt aber nur für Instanzen, die online und mit aktivem Update-Mechanismus betrieben werden. Offline- oder stillgelegte Geräte manuell abgleichen.grep 'c=blocked&action=continue' /log/ui_access_log/index.php?c=blocked&action=continueuser_encoded-Parameter/log/ui_access_logspidermanftsblistpack / sblistpackZur Einordnung: Die Log-Auswertung ist der zuverlässigste Nachweis: Die Ausnutzung läuft über eine regulär aussehende Web-Anfrage und ist ohne Zugriffs-Logs schwer zu erkennen. Prüfen Sie /log/ui_access_log auf Anfragen an den Warn-Proceed-Endpunkt und korrelieren Sie mit ungewöhnlicher Prozess- und Netzaktivität der Appliance.
Wichtig: Der Kern des Risikos liegt in der Kombination aus aktiver Ausnutzung und End-of-Life: Ein einzelner automatischer Fix schließt zwar diese Lücke, doch die Sophos Web Appliance erhält seit dem 20.07.2023 grundsätzlich keine Sicherheitsupdates mehr. Wer sie weiterbetreibt, bleibt gegenüber künftigen Schwachstellen dauerhaft ungeschützt – die einzige nachhaltige Maßnahme ist die Migration auf ein unterstütztes Produkt.
Sophos Security Advisory sophos-sa-20230404-swa-rce (CVE-2023-1671) · NVD (CVSS 3.1: 9,8 / KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-77; CVSS 4.0 nicht bewertet) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 16.11.2023, Frist 07.12.2023) · VulnCheck Attack Research (technische Analyse, PoC). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an den Warn-Proceed-Endpunkt der Appliance und darauf folgende Shell-/Reverse-Shell-Aktivität als Nutzer spiderman. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.