Sophos Web Appliance bis 4.2.1.3 Web Admin Interface MgrReport.php shell_exec unblockip/blockip erweiterte Rechte ⚔ [Infragegestellt]

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.4$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in Sophos Web Appliance bis 4.2.1.3 ausgemacht. Sie wurde als kritisch eingestuft. Betroffen davon ist die Funktion shell_exec der Datei MgrReport.php der Komponente Web Admin Interface. Durch das Beeinflussen des Arguments unblockip/blockip mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-9553 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Desweiteren ist ein Exploit verfügbar. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Detailsinfo

In Sophos Web Appliance bis 4.2.1.3 wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Hierbei betrifft es die Funktion shell_exec der Datei MgrReport.php der Komponente Web Admin Interface. Mittels dem Manipulieren des Arguments unblockip/blockip mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-77. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

The Sophos Web Appliance (version 4.2.1.3) is vulnerable to two Remote Command Injection vulnerabilities affecting its web administrative interface. These vulnerabilities occur in the MgrReport.php (/controllers/MgrReport.php) component responsible for blocking and unblocking IP addresses from accessing the device. The device doesn't properly escape the information passed in the variables 'unblockip' and 'blockip' before calling the shell_exec() function which allows for system commands to be injected into the device. The code erroneously suggests that the information handled is protected by utilizing the variable name 'escapedips' - however this was not the case. The Sophos ID is NSWA-1258.

Entdeckt wurde das Problem am 12.11.2016. Die Schwachstelle wurde am 28.01.2017 durch Russell Sanford in Form eines bestätigten Mailinglist Posts (Full-Disclosure) an die Öffentlichkeit getragen. Das Advisory kann von seclists.org heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 22.11.2016 mit CVE-2016-9553 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind sowohl technische Details als auch ein öffentlicher Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1202.

Der Exploit wird unter exploit-db.com bereitgestellt. Er wird als proof-of-concept gehandelt. Insgesamt 69 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert. Mittels inurl:MgrReport.php können durch Google Hacking potentiell verwundbare Systeme gefunden werden. Für den Vulnerability Scanner Nessus wurde am 16.06.2017 ein Plugin mit der ID 100846 (Sophos Web Appliance < 4.3.1 Multiple Remote Command Injection Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CGI abuses zugeordnet und im Kontext r ausgeführt.

Ein Upgrade auf die Version 4.3.1 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Sophos hat offensichtlich vorgängig reagiert.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (41413), Tenable (100846) und SecurityFocus (BID 95853†) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: VDB-96245. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.7
VulDB Meta Temp Score: 6.4

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.2
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Hersteller Base Score (Sophos): 🔍
NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-77 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 100846
Nessus Name: Sophos Web Appliance < 4.3.1 Multiple Remote Command Injection Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍

Upgrade: Web Appliance 4.3.1

Timelineinfo

12.11.2016 🔍
22.11.2016 +10 Tage 🔍
29.11.2016 +7 Tage 🔍
20.01.2017 +52 Tage 🔍
28.01.2017 +8 Tage 🔍
28.01.2017 +0 Tage 🔍
28.01.2017 +0 Tage 🔍
28.01.2017 +0 Tage 🔍
16.06.2017 +139 Tage 🔍
16.05.2026 +3256 Tage 🔍

Quelleninfo

Hersteller: sophos.com

Advisory: seclists.org
Person: Russell Sanford
Status: Bestätigt
Bestätigung: 🔍
Infragegestellt: 🔍

CVE: CVE-2016-9553 (🔍)
GCVE (CVE): GCVE-0-2016-9553
GCVE (VulDB): GCVE-100-96244
SecurityFocus: 95853 - Sophos Web Appliance CVE-2016-9553 Multiple Remote Command Injection Vulnerabilities
OSVDB: - CVE-2016-9553 - Sophos - Web Appliance - Command Injection Issue

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 28.01.2017 22:32
Aktualisierung: 16.05.2026 23:21
Anpassungen: 28.01.2017 22:32 (84), 31.08.2020 18:40 (8), 02.02.2025 03:12 (18), 16.05.2026 23:21 (1)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!