Эксперты предупредили, что более 4000 сетевых экранов Sophos, доступных через Интернет, по-прежнему уязвимы для критической ошибки, патч для которой был выпущен еще осенью 2022 года.
Это о проблеме CVE-2022-3236 (9,8 балла по шкале оценки уязвимости CVSS), которая находится на пользовательском портале и в веб-админке Sophos Firewall. По сути, эта ошибка позволяет злоумышленникам добиться выполнения произвольного кода (RCE).
Исправления для всех версий Sophos Firewall, затронутых ошибкой (v19.0 MR1, 19.0.1 и старше), были выпущены еще в сентябре прошлого года, а полные исправления были представлены в декабре. При этом еще осенью производитель предупреждал, что уязвимость уже использовалась хакерами для атак на организации в Южной Азии.
Как сейчас сообщают специалисты компании по информационной безопасности ВулнЧекСогласно их исследованию, из 88 000 корпусов брандмауэров Sophos около 6% от общей нагрузки (более 4000) по-прежнему работают с версиями, не получившими исправлений и уязвимыми к проблеме CVE-2022-3236.
«Более 99% брандмауэров Sophos, доступных через Интернет, не были обновлены до версий с официальным исправлением CVE-2022-3236», — пишут исследователи. – Однако около 93% работают с версиями, совместимыми с патчем, а поведение брандмауэра по умолчанию включает автоматическую загрузку и установку патчей (если администратор не отключил эту функцию). Вполне вероятно, что почти все серверы, подходящие для исправления, получили его, хотя ошибки все же случаются. И все же существует более 4000 брандмауэров (около 6% от общего числа) с версиями, не получившими исправлений и поэтому уязвимыми.
Хотя эксплойт POC для CVE-2022-3236 еще не появился в сети, исследователи смогли воспроизвести его на основе технической информации. Вне Инициатива Trend Micro Zero Day (ZDI). Так что вполне вероятно, что злоумышленники тоже могут это сделать.
После появления публичного эксплойта эксперты прогнозируют волну атак на эту уязвимость. Однако массовому использованию уязвимости, вероятно, препятствует тот факт, что Sophos Firewall по умолчанию требует, чтобы веб-клиенты разгадывали капчу при аутентификации. Чтобы обойти это ограничение, злоумышленникам также придется использовать автоматические решатели капчи, а неудачное решение капчи приведет к сбою эксплойта.
