Sophos SFOS のSQLインジェクションの脆弱性（CVE-2020-12271）

何が起きた

Sophos XG Firewall の SFOS（ファイアウォールの基本ソフト）に、SQL インジェクションの弱点が見つかりました。CVE の記録によると、2020年4月に実際に悪用され、リモートコード実行によって、管理者や利用者のユーザー名とハッシュ化されたパスワードが持ち出されたおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できます。CISA によると、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、影響を受けるのは Sophos XG Firewall の SFOS 17.0、17.1、17.5、18.0 のうち、2020-04-25 より前のものです。管理用の画面（HTTPS）か User Portal を WAN 側（インターネット側）に公開していた機器が対象です。外部の Active Directory や LDAP のパスワードは対象外とされています。

何をすればいい

Sophos によると、修正の hotfix はすでに出ていて、サポート対象の機器に配られています。ファイアウォールの自動更新が有効になっていなければ、有効にしてください。Sophos は、影響を受けたファイアウォールを使っている場合、パスワードを再設定し、Sophos の解説記事 KBA135412 にある対応の手順に従うよう強くすすめています。

やることチェックリスト

• ファイアウォールの自動更新を有効にする
• 影響を受けた機器のパスワードを再設定する
• KBA135412の対応の手順に従う

用語メモ

SQL インジェクション

入力欄などに細工した命令を入れて、データベースを不正に操作する攻撃です。

リモートコード実行

離れた場所から、攻撃者が相手のコンピューターでプログラムを動かせてしまうことです。

WAN

インターネットなど、組織の外側のネットワークのことです。

hotfix

見つかった問題を急いで直すために出される、小さな修正のことです。

ハッシュ化

パスワードを元に戻しにくい別の文字列に変えて保存する方法です。