CVE-2024-12727

Pre-auth SQL injection w Sophos Firewall umożliwiający RCE

CVSS 9.8v3.1pub. 2024-12-19upd. 2025-11-12

Krytyczna podatność typu SQL injection w funkcji ochrony poczty e-mail w Sophos Firewall pozwala nieuwierzytelnionemu atakującemu na dostęp do bazy danych raportowania. W określonej konfiguracji może prowadzić do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

A pre-auth SQL injection vulnerability in the email protection feature of Sophos Firewall versions older than 21.0 MR1 (21.0.1) allows access to the reporting database and can lead to remote code execution if a specific configuration of Secure PDF eXchange (SPX) is enabled in combination with the firewall running in High Availability (HA) mode.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi danych wejściowych w funkcji ochrony poczty e-mail (email protection), co umożliwia wstrzyknięcie złośliwych zapytań SQL bez wcześniejszego uwierzytelnienia (pre-auth SQL injection). Atakujący uzyskuje w ten sposób dostęp do bazy danych raportowania. Eskalacja do RCE jest możliwa wyłącznie wtedy, gdy jednocześnie włączona jest funkcja Secure PDF eXchange (SPX) oraz urządzenie działa w trybie High Availability (HA).

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych raportowania, a w specyficznej konfiguracji (SPX + tryb HA) — wykonać dowolny kod zdalnie na podatnym urządzeniu, co może skutkować pełnym przejęciem kontroli nad firewallem.

Mitygacja

Należy zaktualizować Sophos Firewall do wersji 21.0 MR1 (21.0.1) lub nowszej. Szczegółowe informacje dostępne są w oficjalnym biuletynie bezpieczeństwa producenta: https://www.sophos.com/en-us/security-advisories/sophos-sa-20241219-sfos-rce

Kogo dotyczy

Sophos Firewall w wersjach starszych niż 21.0 MR1 (21.0.1)

Uwagi

RCE jest możliwe wyłącznie przy jednoczesnym spełnieniu dwóch warunków: włączonej funkcji Secure PDF eXchange (SPX) oraz pracy urządzenia w trybie High Availability (HA). Podatność bez tych warunków ogranicza się do nieautoryzowanego dostępu do bazy danych raportowania.