CVEノート

最近の脆弱性 › CVE-2022-1040

Sophos Firewall の認証回避の脆弱性（CVE-2022-1040）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2022-1040
製品Sophos Firewall
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-31
米国政府機関の対応期限2022-04-21
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-158

何が起きた

Sophos Firewall の User Portal と Webadmin（管理画面）に、ログインの確認を回避できてしまう弱点（認証回避）が見つかりました。これにより、遠隔からプログラム（コード）を実行されるおそれがあります。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。Sophos は特定の少数の組織を狙った悪用を確認しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が User Portal や Webadmin に接続する → 2. ログインの確認をすり抜ける → 3. ファイアウォール上でコードを実行する1攻撃者が User Portal や Webadmin に接続する2ログインの確認をすり抜ける3ファイアウォール上でコードを実行する攻撃の流れ: 1. 攻撃者が User Portal や Webadmin に接続する → 2. ログインの確認をすり抜ける → 3. ファイアウォール上でコードを実行する1攻撃者が User Portal や Webadmin に接続する2ログインの確認をすり抜ける3ファイアウォール上でコードを実行する

誰が影響を受ける

Sophos Firewall の v18.5 MR3 (18.5.3) とそれより古いバージョンを使っている組織が対象です。

何をすればいい

修正は v19.0 GA と v18.5 MR4 (18.5.4) に含まれているので、そのバージョン以降か確認してください。ホットフィックスの自動適用（初期設定で有効）を使っていれば対応は不要ですが、そうでない場合はホットフィックスを適用するか更新してください。回避策として、User Portal と Webadmin を WAN（インターネット側）に出さず、遠隔からの管理には VPN を使うよう Sophos は勧めています。Sophos のセキュリティ情報（公式の案内）を確認してください。

やることチェックリスト

用語メモ

認証回避
本来必要なログインなどの本人確認を、すり抜けてしまう弱点のことです。
ホットフィックス
特定の不具合や弱点を急いで直すために配られる、小さな修正プログラムのことです。
WAN
インターネット側など、社内の外につながるネットワークのことです。
VPN
インターネット上に暗号化された専用の通り道を作り、安全に社内へ接続する仕組みです。

元データ（英語・CISA KEV より）

Sophos Firewall Authentication Bypass Vulnerability

概要

An authentication bypass vulnerability in User Portal and Webadmin of Sophos Firewall allows for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報