Sophos CyberoamOS のSQLインジェクションの脆弱性（CVE-2020-29574）

何が起きた

Sophos の CyberoamOS（CROS）の WebAdmin（管理画面）に、SQL インジェクションの弱点が見つかりました。ログインしていない攻撃者が、遠隔から任意の（攻撃者が好きに選べる）SQL 文を実行できる可能性があります。攻撃はネットワーク経由で、特別な権限も利用者の操作も要りません。Sophos によると、一部の機器ではこの弱点が見覚えのないアカウントの作成に使われた可能性があります。この弱点は実際に悪用されており、ランサムウェアの攻撃にも使われたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cyberoam の機器で CyberoamOS を使っている組織が対象です。Sophos の勧告では、すべての Cyberoam OS の機器が影響を受けるとされ、2020-12-04 からサポート中の機器に修正（ホットフィックス）が配られました。CISA によると、この製品はすでにサポートが終わっています。

何をすればいい

CISA は、サポートが終わったこの製品の利用をやめるよう求めています。Sophos は、Cyberoam の利用者に XG Firewall v17.5 への移行か Cyberoam OS の最新版への更新を勧め、WebAdmin と SSH を WAN（インターネット側）に公開しないよう案内しています。今も使っている場合は、サポートが続いている製品への置き換えを進めてください。詳しくは Sophos の公式の案内を確認してください。

やることチェックリスト

• CyberoamOS の機器を使っているか調べる
• サポートが続いている製品に置き換える
• WebAdmin と SSH を WAN に公開しない

用語メモ

SQL インジェクション

入力欄などに細工した文字を入れて、データベースへの命令（SQL 文）を書き換えてしまう攻撃です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。

WebAdmin

CyberoamOS を Web ブラウザーから設定するための管理画面です。