CVE-2022-3236 の詳細

CVEの情報

説明:
A code injection vulnerability in the User Portal and Webadmin allows a remote attacker to execute code in Sophos Firewall version v19.0 MR1 and older.

CVE更新日: 2022-09-23 13:15:10.327000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-09-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.988780000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-3236に関する脆弱性解説

1. 脆弱性の概要

CVE-2022-3236は、Sophos FirewallのUser Portal（ユーザーポータル）およびWebadmin（Web管理インターフェース）コンポーネントに存在するコードインジェクションの脆弱性です。この脆弱性を悪用することで、リモートの認証されていない攻撃者がSophos Firewallアプライアンス上で任意のコードを実行できる可能性があります。 Sophos社は2022年9月23日にセキュリティアドバイザリを公開し、悪用が確認されているとして注意を呼びかけました。

1.1 影響

この脆弱性が悪用された場合、リモートの認証されていない攻撃者がSophos Firewallアプライアンス上で任意のコードを実行できるため、デバイスの完全な侵害につながる可能性があります。また、保護されたネットワークへの侵入の足がかりとなる可能性もあります。 CISA（サイバーセキュリティ・社会基盤安全保障庁）のKnown Exploited Vulnerabilities (KEV) カタログにも追加されており、実環境での悪用が確認されています。

1.2 深刻度

CVE-2022-3236のCVSSv3.1ベーススコアは9.8で、「緊急（Critical）」と評価されています。攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な特権レベルは不要、ユーザー関与レベルは不要とされており、機密性、完全性、可用性への影響はすべて高と評価されています。また、EPSS (Exploit Prediction Scoring System) の評価では、悪用される確率が98.9%と高い数値を示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Sophos Firewallの以下のバージョンが影響を受けます。

Sophos Firewall v19.0 MR1 (19.0.1) およびそれ以前のバージョン

2.2 影響を受ける設定

User PortalおよびWebadminインターフェースがWANに公開されている場合、インターネットからの攻撃に直接さらされる可能性があります。

3. 影響を受けた時の兆候

現時点では、具体的な影響を受けた際の直接的な兆候に関する詳細な情報は確認できませんでした。ただし、リモートコード実行の脆弱性であるため、不審なネットワーク通信、システムログの異常、予期しないシステム動作などが兆候として挙げられる可能性があります。Sophos社は、南アジア地域の特定の組織を標的とした攻撃にこの脆弱性が悪用されたことを確認し、関連組織に通知しています。

4. 推奨対策

4.1 本対策

ファームウェアのアップデート: 脆弱性を修正するホットフィックスを適用することが最も重要です。Sophos社は、v19.0 GA, MR1, MR1-1、v18.5 GA, MR1, MR1-1, MR2, MR3, MR4などのバージョン向けにホットフィックスを公開しています。 Sophos Firewallの「ホットフィックスの自動インストールを許可する」設定が有効になっている場合、修正は自動的に適用されます。
EOL（サポート終了）製品のアップグレード: サポートが終了した旧バージョンのSophos Firewallも攻撃の標的になっているため、最新のファームウェアバージョンにアップグレードすることを強く推奨します。
ホットフィックスの適用確認: Sophos Firewallのコンソールからsystem diagnostic show version-infoコマンドを実行し、HF092122.1またはそれ以降の値が表示されれば、ホットフィックスが適用されていることを確認できます。

4.2 暫定回避策（緩和策）

User PortalおよびWebadminのWANからの公開停止: 外部からの攻撃者から自身を保護するために、User PortalおよびWebadminをWANに公開しないように設定します。
VPNまたはSophos Centralの利用: リモートアクセスおよび管理には、VPNまたはSophos Central（推奨）を利用することが推奨されます。
多要素認証（MFA）の導入: 可能であれば、管理インターフェースへのアクセスに多要素認証を導入することで、認証情報の漏洩によるリスクを軽減できます。 (検索結果からは直接得られませんでしたが、一般的なセキュリティ対策として有効です。)

参照したサイト

その他解説すべき観点

悪用の状況

CISAは、CVE-2022-3236をKnown Exploited Vulnerabilities (KEV) カタログに追加しており、実際の攻撃で悪用されていることを示しています。 Sophos社は、特に南アジア地域の特定の組織を標的とした攻撃を確認しています。 2023年12月には、サポート終了（EOL）バージョンのSophos Firewallに対する新たな悪用試行が観測され、同社はEOL製品向けにも修正パッチを提供しました。

NVDサイト

NVDでCVEの詳細を見る

戻る

Trusted Design