Sophos ha solucionado tres vulnerabilidades en su producto Sophos Firewall que podrían permitir a los actores de amenazas remotas no autenticadas realizar inyección SQL, ejecución remota de código y obtener acceso SSH privilegiado a los dispositivos.

Las vulnerabilidades afectan a la versión 21.0 GA (21.0.0) y anteriores de Sophos Firewall, y la empresa ya ha publicado hotfixes y correcciones permanentes a través de nuevas actualizaciones de firmware.

Los tres fallos se resumen a continuación: 

• CVE-2024-12727: Una vulnerabilidad de inyección SQL previa a la autenticación en la función de protección de correo electrónico. Si se activa una configuración específica de Secure PDF eXchange (SPX) en combinación con el modo de alta disponibilidad (HA), se permite el acceso a la base de datos de informes, lo que puede dar lugar a RCE.

• CVE-2024-12728: La frase de contraseña de inicio de sesión SSH sugerida y no aleatoria para la inicialización del clúster de HA permanece activa una vez finalizado el proceso, lo que deja a los sistemas en los que SSH está habilitado vulnerables a accesos no autorizados debido a la previsibilidad de las credenciales.

• CVE-2024-12729: Un usuario autenticado puede explotar una vulnerabilidad de inyección de código en el Portal de usuario. Esto permite a los atacantes con credenciales válidas ejecutar código arbitrario de forma remota, aumentando el riesgo de escalada de privilegios o explotación adicional.

La empresa afirma que CVE-2024-12727 afecta aproximadamente al 0,05% de los dispositivos Firewall con la configuración específica necesaria para su explotación. En cuanto a CVE-2024-12728, el proveedor dice que afecta aproximadamente al 0,5% de los dispositivos.

Correcciones disponibles

Las revisiones y correcciones completas se pusieron a disposición a través de varias versiones y fechas, como se indica a continuación: 

Los hotfixes para CVE-2024-12727 están disponibles desde el 17 de diciembre para las versiones 21 GA, v20 GA, v20 MR1, v20 MR2, v20 MR3, v19.5 MR3, v19.5 MR4, v19.0 MR2, mientras que en v21 MR1 y posteriores se introdujo un fix permanente.

Entre el 26 y el 27 de noviembre se publicaron hotfixes para CVE-2024-12728 para v21 GA, v20 GA, v20 MR1, v19.5 GA, v19.5 MR1, v19.5 MR2, v19.5 MR3, v19.5 MR4, v19.0 MR2 y v20 MR2, mientras que las correcciones permanentes se incluyen en v20 MR3, v21 MR1 y posteriores.

Para CVE-2024-12729, se publicaron hotfixes entre el 4 y el 10 de diciembre para las versiones v21 GA, v20 GA, v20 MR1, v20 MR2, v19.5 GA, v19.5 MR1, v19.5 MR2, v19.5 MR3, v19.5 MR4, v19.0 MR2, v19.0 MR3, y v20 MR3, y una corrección permanente está disponible en v21 MR1 y posteriores.

Para obtener instrucciones sobre cómo aplicar las revisiones de Sophos Firewall y validar que se han instalado correctamente, consulte KBA-000010084.

Sophos también ha propuesto soluciones para mitigar los riesgos asociados a CVE-2024-12728 y CVE-2024-12729 para aquellos que no puedan aplicar el hotfix o actualizar.

Para mitigar CVE-2024-12728, se recomienda limitar el acceso SSH sólo al enlace de HA dedicado que está físicamente separado del resto del tráfico de red y reconfigurar la configuración de HA utilizando una frase de contraseña personalizada suficientemente larga y aleatoria.

Para la gestión y el acceso remotos, se recomienda desactivar SSH en la interfaz WAN y utilizar Sophos Central o una VPN.

Para mitigar CVE-2024-12729, se recomienda que los administradores se aseguren de que las interfaces User Portal y Webadmin no estén expuestas a la WAN.

Fuente:bleepingcomputer