Sophos SG UTM WebAdmin arayüzünde uzaktan kod çalıştırma açığı

ÖzetTürkçe

Sophos SG UTM ürününün WebAdmin yönetim arayüzünde, işletim sistemi komutu enjeksiyonu (CWE-78) türünde bir uzaktan kod çalıştırma açığı bulunuyor. Açık, v9.705 MR5, v9.607 MR7 ve v9.511 MR11 öncesi sürümleri etkiliyor. Saldırgan kimlik doğrulaması ve kullanıcı etkileşimi olmadan ağ üzerinden istismar edebiliyor. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve aktif olarak istismar edildiği biliniyor.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan cihaz üzerinde keyfi komut çalıştırarak güvenlik cihazının tam denetimini ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.

Ne yapmalı?

1. Sophos SG UTM cihazını düzeltme içeren sürümlere güncelleyin: v9.705 MR5, v9.607 MR7 veya v9.511 MR11 (ya da daha yenisi). Genel öneri
2. Güncellemeyi satıcı talimatlarına uygun şekilde uygulayın. CISA
3. Güncelleme hemen yapılamıyorsa WebAdmin arayüzüne internetten erişimi kapatın ve yalnızca güvenilir yönetim ağlarından erişime izin verin. Genel öneri

Ek önlemler

• WebAdmin yönetim arayüzünü genel internete açmayın; erişimi VPN veya IP kısıtlamasıyla sınırlayın. Genel öneri
• Cihazda beklenmeyen süreçler, yeni hesaplar veya yapılandırma değişiklikleri olup olmadığını kontrol edin; güncelleme öncesi ele geçirilme ihtimaline karşı günlükleri inceleyin. Genel öneri
• Güvenlik cihazlarının yama durumunu düzenli izleyin ve otomatik güncelleme mekanizmalarının çalıştığından emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar7 kaynak

• CVE.org kaydı
• NVD kaydı
• cwe.mitre.org/data/definitions/78.html Diğer
• community.sophos.com/b/security-blog Diğer
• community.sophos.com/…resolved-rce-in-sg-utm-webadmin-cve-2020-25223 Diğer
• packetstormsecurity.com/…Sophos-UTM-WebAdmin-SID-Command-Injection.html Diğer
• secpod.com/blog/remote-code-execution-in-sophos-utm Diğer

Kayıt geçmişi

1. 25 Mar 2022CISA KEV listesine eklendi (saldırılarda kullanılıyor)
2. 25 Eyl 2020 03:00Yayımlandı

İlgili açıklar

• 7,8 CVE-2026-118615Ultralytics torch_safe_load Command Injection Remote Code Execution Vulnerability
• 6,8 CVE-2026-118607Alpine iLX-F511 diagapp Command Injection Vulnerability
• 8,8 CVE-2026-106079Session Smart Router and Session Smart Conductor: Improper validation of a field causes privilege escalation when updating the YANG configuration
• 9,8 CVE-2026-103406Session Smart Conductor: An unauthenticated attacker causes arbitrary command execution during key management.
• 8,8 CVE-2026-103403Session Smart Router and Session Smart Conductor: Unvalidated input causes arbitrary file deletion and command execution when deleting audit rules
• 8,8 CVE-2026-116778FOG: Authenticated low-privileged API user can modify Storage Nodes and reach root command execution