Kritische Sicherheitslücken in Sophos und SonicWall Firewalls behoben

LONDON (IT BOLTWISE) – Sophos und SonicWall haben kürzlich auf schwerwiegende Sicherheitslücken in ihren Firewall- und Secure Mobile Access (SMA) 100 Series-Geräten hingewiesen, die potenziell für Remote-Code-Ausführung ausgenutzt werden könnten.

Sophos und SonicWall haben die Nutzer ihrer Produkte über kritische Sicherheitslücken informiert, die in den Sophos Firewalls und den Secure Mobile Access (SMA) 100 Series-Geräten entdeckt wurden. Diese Schwachstellen könnten von Angreifern ausgenutzt werden, um eine Remote-Code-Ausführung zu erreichen. Zwei der betroffenen Schwachstellen in der Sophos Firewall sind CVE-2025-6704 und CVE-2025-7624, beide mit einem CVSS-Score von 9.8. Die erste Schwachstelle ermöglicht das willkürliche Schreiben von Dateien im Secure PDF eXchange (SPX)-Feature, was zu einer prä-authentifizierten Remote-Code-Ausführung führen kann, wenn eine bestimmte SPX-Konfiguration aktiviert ist und die Firewall im High Availability (HA)-Modus läuft. Die zweite Schwachstelle betrifft eine SQL-Injection im Legacy-SMTP-Proxy, die ebenfalls zu einer Remote-Code-Ausführung führen kann, wenn eine Quarantäne-Politik für E-Mails aktiv ist und SFOS von einer älteren Version als 21.0 GA aktualisiert wurde. Sophos hat mitgeteilt, dass CVE-2025-6704 etwa 0,05 % der Geräte betrifft, während CVE-2025-7624 bis zu 0,73 % der Geräte betrifft. Beide Schwachstellen wurden zusammen mit einer weiteren schwerwiegenden Schwachstelle im WebAdmin-Komponenten (CVE-2025-7382, CVSS-Score: 8.8) behoben, die zu einer prä-authentifizierten Code-Ausführung auf HA-Hilfsgeräten führen könnte, wenn die OTP-Authentifizierung für den Admin-Benutzer aktiviert ist. Zusätzlich hat das Unternehmen zwei weitere Schwachstellen behoben: CVE-2024-13974, eine Business-Logik-Schwachstelle im Up2Date-Komponenten, die es Angreifern ermöglicht, die DNS-Umgebung der Firewall zu kontrollieren, um eine Remote-Code-Ausführung zu erreichen, und CVE-2024-13973, eine Post-Auth-SQL-Injection-Schwachstelle im WebAdmin, die Administratoren potenziell ermöglicht, beliebigen Code auszuführen. Die britische National Cyber Security Centre (NCSC) wird für die Entdeckung und Meldung von CVE-2024-13974 und CVE-2024-13973 gewürdigt. Diese Probleme betreffen die folgenden Versionen: CVE-2024-13974 und CVE-2024-13973 betreffen Sophos Firewall v21.0 GA (21.0.0) und älter, während CVE-2025-6704, CVE-2025-7624 und CVE-2025-7382 Sophos Firewall v21.5 GA (21.5.0) und älter betreffen. Parallel dazu hat SonicWall eine kritische Schwachstelle im Web-Management-Interface der SMA 100 Series (CVE-2025-40599, CVSS-Score: 9.1) detailliert beschrieben, die es einem entfernten Angreifer mit administrativen Rechten ermöglicht, beliebige Dateien hochzuladen und potenziell eine Remote-Code-Ausführung zu erreichen. Diese Schwachstelle betrifft die SMA 100 Series-Produkte (SMA 210, 410, 500v) und wurde in Version 10.2.2.1-90sv behoben. SonicWall hat auch darauf hingewiesen, dass die Schwachstelle zwar nicht ausgenutzt wurde, jedoch ein potenzielles Risiko besteht, da ein kürzlicher Bericht der Google Threat Intelligence Group (GTIG) Beweise für einen Bedrohungsakteur namens UNC6148 gefunden hat, der vollständig gepatchte SMA 100 Series-Geräte nutzt, um eine Hintertür namens OVERSTEP zu installieren. Neben der Anwendung der Patches empfiehlt das Unternehmen den Kunden der SMA 100 Series-Geräte, folgende Schritte durchzuführen: Deaktivieren Sie den Fernzugriff auf die externe Schnittstelle (X1), um die Angriffsfläche zu reduzieren, setzen Sie alle Passwörter zurück und initialisieren Sie die OTP-Bindung für Benutzer und Administratoren auf dem Gerät neu, erzwingen Sie die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer und aktivieren Sie die Web Application Firewall (WAF) auf der SMA 100. Organisationen, die SMA 100 Series-Geräte verwenden, sollten auch die Protokolle und Verbindungshistorie der Geräte auf Anomalien überprüfen und auf Anzeichen unbefugten Zugriffs achten. Organisationen, die das virtuelle Produkt SMA 500v verwenden, müssen die OVA-Datei sichern, die Konfiguration exportieren, die vorhandene virtuelle Maschine und alle zugehörigen virtuellen Festplatten und Snapshots entfernen, die neue OVA von SonicWall mit einem Hypervisor neu installieren und die Konfiguration wiederherstellen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!