Vulnerabilità di SQL Injection Pre-Auth in Sophos Cyberoam OS (CVE-2020-29574)

È stata scoperta e corretta una vulnerabilità critica di SQL injection pre-autenticazione in Sophos Cyberoam OS (CROS), che consente ad attaccanti remoti di eseguire comandi SQL se l’interfaccia amministrativa è esposta alla WAN. Questa vulnerabilità è stata aggiunta al catalogo KEV di CISA (Known Exploited Vulnerabilities), indicando che è attivamente sfruttata. Sophos ha distribuito una patch correttiva (hotfix) per i dispositivi interessati, ma le organizzazioni che utilizzano firewall Cyberoam devono assicurarsi che i loro sistemi siano aggiornati o migrare a Sophos XG Firewall, poiché i dispositivi Cyberoam sono stati dismessi dal 2019.

Riassunto tecnico

La vulnerabilità risiede nell’interfaccia amministrativa web di Cyberoam OS (CROS) e può essere sfruttata da remoto tramite SQL injection. Se il servizio HTTPS di amministrazione è esposto a internet, un attaccante può manipolare le query SQL per aggiungere account utente non autorizzati al sistema. Il difetto consente a un attaccante non autenticato di ottenere il controllo del firewall interessato, con potenziali implicazioni di compromissione della rete.

Sophos ha fornito patch correttive automatiche via OTA (over-the-air) per le versioni supportate di CROS. Tuttavia, le organizzazioni che stanno ancora utilizzando dispositivi Cyberoam dovrebbero verificare manualmente che i loro sistemi siano aggiornati eseguendo il comando cyberoam diagnostics show version-info.

Raccomandazioni

• Applicare la patch immediatamente: Assicurarsi che Cyberoam OS sia aggiornato all’ultima versione controllando la presenza della patch correttiva tramite il comando di diagnostica.
• Disattivare l’esposizione WAN: Gli amministratori dovrebbero disabilitare l’accesso WAN all’interfaccia web admin e SSH per mitigare accessi non autorizzati.
• Controllare utenti non autorizzati: I team di sicurezza dovrebbero esaminare gli account utente presenti nei dispositivi Cyberoam per individuare segni di compromissione.