Trusted Design

CVE-2020-12271 の詳細

CVEの情報

説明:
A SQL injection issue was found in SFOS 17.0, 17.1, 17.5, and 18.0 before 2020-04-25 on Sophos XG Firewall devices, as exploited in the wild in April 2020. This affected devices configured with either the administration (HTTPS) service or the User Portal exposed on the WAN zone. A successful attack may have caused remote code execution that exfiltrated usernames and hashed passwords for the local device admin(s), portal admins, and user accounts used for remote access (but not external Active Directory or LDAP passwords)

CVE更新日: 2020-04-27 04:15:10.553000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.424340000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-12271について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2020-12271は、Sophos XG FirewallのSophos Firewall Operating System (SFOS) に存在する認証前SQLインジェクションのゼロデイ脆弱性です。この脆弱性は、リモートからのコード実行および情報漏洩を引き起こす可能性があります。CWE-89（SQLインジェクション）として分類されています。

1.1 影響

攻撃が成功すると、リモートで任意のコードが実行され、ローカルデバイス管理者、ポータル管理者、およびリモートアクセスに使用されるユーザーアカウントのユーザー名とハッシュ化されたパスワードが窃取される可能性があります。Active DirectoryやLDAPのパスワードは侵害されませんでした。攻撃者はSQLインジェクションを利用してマルウェア（Sophosが「Asnarok」と呼ぶもの）をダウンロード・インストールし、C2（コマンド＆コントロール）ドメインへの接続、再起動後の永続性の確保、資格情報の窃取を行いました。

1.2 深刻度

CVSSv3ベーススコアは10.0（緊急）と評価されています。 また、別の情報源ではCVSS 9.8（緊急）とされています。 この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities: KEV）カタログに掲載されており、実世界で積極的に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Sophos XG FirewallのSophos Firewall Operating System (SFOS) バージョン17.0、17.1、17.5、および2020年4月25日以前の18.0が影響を受けます。この脆弱性のあるコードは、すべてのサポートされているXG Firewallバージョンに存在し、SFOS v16で早期に導入されました。

2.2 影響を受ける設定

管理インターフェース（HTTPS管理サービス）またはユーザーポータルがWANゾーンに公開されているデバイスが影響を受けます。

3. 影響を受けた時の兆候

2020年4月22日、XG Firewall管理インターフェースで不審なフィールド値が報告されたことが、この脆弱性と悪用キャンペーンの発見につながりました。 侵害されたXG Firewallデバイスでホットフィックスが適用された後でも、Sophosは追加の対応手順を推奨しており、パッチ適用後も何らかの兆候が残る可能性が示唆されます。 マルウェアはデータを窃取し、永続性を確立していました。

4. 推奨対策

4.1 本対策

  • 直ちに最新のSFOSファームウェアアップデート/ホットフィックスを適用してください。Sophosは2020年4月25日に緊急ホットフィックスをリリースしました。
  • ホットフィックス適用後の対象バージョンは、Sophos XG Firewall 17.0.10.240、17.1.4.254、17.5.11.661、18.0.0.379です。
  • ホットフィックスの自動適用が無効になっている場合は、それを有効にし、パッチが適用されていることを確認してください。管理者は、XG管理インターフェースのコントロールセンターのメッセージセクションでホットフィックスの適用状況を確認できます。
  • 侵害されたデバイスについては、Sophosは以下の追加手順を強く推奨しています。デバイス管理者アカウントのリセット、XGデバイスの再起動、すべてのローカルユーザーアカウントのパスワードのリセット。Sophosは、2020年4月25日22:00 UTC以降にパスワードをリセットしていない、影響を受けたローカル管理者アカウントに対して、パスワードのリセットを強制しました。

4.2 暫定回避策（緩和策）

迅速にホットフィックスがリリースされ、悪用が確認されていたため、パッチ適用に代わる明確な暫定回避策は検索結果に明記されていません。しかし、管理インターフェースおよびユーザーポータルへのWANゾーンからのアクセスを制限することは、攻撃対象領域を軽減する効果があります。この脆弱性は、これらのサービスがWANに公開されているシステムに特有のものです。

不明点

  • 「不審なフィールド値」以外の具体的なログやフォレンジックな侵害インジケーター（IoC）は、検索結果には明示されていません。

他に解説すべき観点

  • 発見経緯: 2020年4月22日にXG Firewall管理インターフェースで不審なフィールド値が報告された後、ゼロデイ悪用キャンペーンが特定され、脆弱性が発見されました。
  • 実世界での悪用: この脆弱性は実世界で積極的に悪用されたことが確認されており、CISAのKEVカタログに掲載されています。この悪用キャンペーンはSophosによって「Asnarok」と名付けられました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る