官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
近期，Sophos修复了位于Sophos防火墙的用户门户和Webadmin区域的身份验证绕过漏洞，该漏洞被标记为CVE-2022-1040。CVE-2022-1040漏洞的CVSS得分为9.8，它影响了Sophos Firewall版本18.5 MR3 (18.5.3)及更早版本。
在Sophos近期更新的一则公告中，称Sophos防火墙在用户门户和Webadmin中发现了该允许远程执行代码的身份验证绕过漏洞，它是由外部安全研究人员通过 Sophos 漏洞赏金计划发现并报告给Sophos的，不过Sophos表示该漏洞已得到及时修复。
远程攻击者可利用该漏洞绕过身份验证访问防火墙的用户门户网站或登录Webadmin界面并执行任意代码。对于此漏洞，安全供应商指出，默认情况下，修补程序将自动安装在其设备上，不过该公司还是提醒Sophos用户避免将其用户门户和Webadmin暴露于广域网上。在发布的公告中也给出了建议：遵循设备访问最佳实践，不从广域网登录用户门户和Webadmin，而是使用VPN和/或 Sophos Central进行远程访问和管理。”同时，Sophos也补充说，“一些用户的旧版本防火墙产品需要升级才能获得最新的保护和此修复。”
参考来源：https://securityaffairs.co/wordpress/129536/security/sophos-firewall-authentication-bypass-flaw.html