CVE詳細 - CVE-2022-1040-

CVE-2022-1040 の詳細

CVEの情報

説明:
An authentication bypass vulnerability in the User Portal and Webadmin allows a remote attacker to execute code in Sophos Firewall version v18.5 MR3 and older.

CVE更新日: 2022-03-25 12:15:07.750000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-31

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997960000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-1040は、Sophos FirewallのUser PortalおよびWebadminインターフェースにおける認証バイパスの脆弱性です。これにより、リモートの認証されていない攻撃者が認証を回避し、アプライアンス上で任意のコードを実行できる可能性があります。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用されると、リモートの認証されていない攻撃者がSophos Firewallの認証をバイパスし、任意のコードを実行することで、ファイアウォールを完全に制御する可能性があります。これにより、機密性、完全性、可用性の喪失につながる可能性があります。攻撃者は、Webシェルをドロップするなどして、ターゲットシステムに侵入することが確認されています。

1.2 深刻度

この脆弱性の深刻度は「Critical（緊急）」と評価されています。CVSS v3.1基本スコアは9.8です。また、CISAの既知の悪用されている脆弱性（KEV）カタログに登録されており、実際に攻撃で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Sophos Firewall (SFOS) バージョンv18.5 MR3およびそれ以前のバージョンが影響を受けます。具体的には、v17.0 MR10 EAL4+、v17.5 MR16およびMR17、v18.0 MR5(-1)およびMR6、v18.5 MR1およびMR2、v19.0 EAPなどの古いバージョンも含まれます。

2.2 影響を受ける設定

User PortalまたはWebadminインターフェースが信頼できないネットワーク（WAN）に公開されているSophos SFOSアプライアンスが影響を受けます。

3. 影響を受けた時の兆候

Sophos Firewallのアクセスログで、管理対象外のソース範囲からのUser PortalおよびWebadmin URLへのHTTPリクエストを検査する。
認証済み管理者セッションアクティビティとファイアウォール設定変更イベントを関連付けて、不正な変更がないか特定する。
既知の正常なベースラインと実行中の設定を比較し、ルール、証明書、または管理者アカウントの改ざんを検出する。
過去には、攻撃者によってWebシェルがターゲットシステムにドロップされていたケースが確認されている。

4. 推奨対策

4.1 本対策

Sophosが提供するホットフィックスを適用するか、修正されたSFOSリリースにアップグレードしてください。
Sophos Firewallで「Allow automatic installation of hotfixes」機能が有効になっている場合（デフォルト設定）、ユーザーによる追加の操作は不要です。
具体的には、v19.0 GAおよびv18.5 MR4 (18.5.4) に修正が含まれています。

4.2 暫定回避策（緩和策）

User PortalおよびWebadminの外部（WAN）への露出を制限し、厳密に必要でない場合はWANアクセスを削除してください。
リモートアクセスおよび管理には、VPNまたはSophos Centralを使用してください。
2022年3月以降の管理者アカウント、APIトークン、ファイアウォールルールに対する不正な変更がないか監査してください。
管理者認証情報およびファイアウォールに保存されている、またはそこからアクセス可能なシークレットをローテーションしてください。

他に解説すべき観点

脆弱性の原理: CVE-2022-1040の核心的な原理は、JavaとPerlによるJSONデータの解析方法の差異に起因する変数上書きにあります。具体的には、攻撃者はJSONキーにUnicodeゼロ幅文字（例: \u0000）を挿入することで、JavaとPerlの文字列処理の違いを利用して文字列を切り詰めます。これにより、Perlが重要な変数を上書きし、認証をバイパスして任意のコード実行を可能にします。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る