Sophos防火墙0-day漏洞分析与应对指南

漏洞概述

2020年4月，网络安全公司Sophos发布紧急安全更新，修复其XG企业防火墙产品中的一个0-day漏洞。该漏洞已被黑客利用进行攻击，属于高危漏洞。

漏洞发现时间线

• 2020年4月22日：Sophos收到客户报告，发现管理接口中存在可疑字段值
• 2020年4月25日：Sophos发布紧急安全更新修复该漏洞

漏洞技术细节

漏洞类型

• SQL注入漏洞：攻击者利用了一个以前未知的SQL注入漏洞获取对XG设备的访问权限

攻击目标

• 管理界面(HTTPS服务)
• 用户门户控制面板
• 暴露在互联网上的Sophos XG Firewall设备

攻击方式与影响

攻击流程

1. 攻击者利用SQL注入漏洞
2. 在设备上下载恶意payload
3. payload从XG Firewall中窃取文件

被窃取数据

• 防火墙设备管理员用户名和哈希密码
• 防火墙门户管理员的用户名和哈希密码
• 用于远程访问该设备的用户账户

不受影响的数据

• 外部身份认证系统密码(如AD或LDAP)

漏洞修复措施

自动更新

• Sophos已推送自动更新至所有启用了自动更新功能的XG Firewall

热补丁功能

1. 修复SQL注入漏洞
2. 防止漏洞进一步利用
3. 阻止XG Firewall访问攻击者基础设施
4. 清除攻击残余部分

新增安全功能

• 在XG Firewall控制面板中添加告警功能，提示设备是否已遭入侵

补救措施（针对已遭入侵设备）

1. 重置账户密码

   • 重置门户管理员账户密码
   • 重置设备管理员账户密码
   • 重置所有本地用户账户密码

2. 设备操作

   • 重启XG设备

3. 额外建议

   • 虽然密码已哈希加密，仍建议重置任何可能再次使用XG凭据的账户密码

长期防护建议

• 如非必要，建议在面向互联网的端口上禁用防火墙管理界面特性
• 确保自动更新功能保持开启状态
• 定期检查防火墙日志和告警信息

漏洞影响评估

• Sophos调查未发现黑客使用窃取密码访问XG Firewall设备或客户内部网络其他系统的证据
• 该漏洞主要影响暴露在互联网上的XG Firewall设备管理界面