0 
0 A Sophos corrigiu uma vulnerabilidade de execução remota de código explorada ativamente (CVE-2022-3236) em suas soluções de firewall e empurrou a correção para clientes que têm a instalação automática de hotfixes habilitada.
Se esta notícia provoca uma sensação de déjà vu, há uma boa razão: no início deste ano, outro dia zero (CVE-2022-1040) no mesmo componente foi alavancado por invasores contra “um pequeno conjunto de organizações específicas, principalmente no região do Sul da Ásia” – e desta vez é o mesmo.
Sobre o CVE-2022-3236
CVE-2022-3236 é uma vulnerabilidade de injeção de código no Portal do Usuário e Webadmin do Sophos Firewall. Se explorado com sucesso, ele permite a execução remota de código (RCE) na instalação vulnerável de destino.
Ela afeta o Sophos Firewall v19.0 MR1 (19.0.1) e anteriores. A Sophos publicou hotfixes para vários deles e incluiu a correção na v18.5 MR5 (18.5.5), v19.0 MR2 (19.0.2) e v19.5 GA.
Os hotfixes foram enviados aos clientes com o recurso “Permitir instalação automática de hotfixes” habilitado nas versões corrigidas (o recurso é habilitado por padrão).
Os clientes que não têm o recurso ativado são aconselhados a obter o hotfix ou atualizar para uma versão mais recente. Se nada disso for possível, eles podem se proteger de invasores externos desabilitando o acesso WAN ao Portal do Usuário e ao Webadmin. Como alternativa para acesso e gerenciamento remoto, eles podem usar VPN e/ou a plataforma de gerenciamento de nuvem Sophos Central.
“Os usuários de versões mais antigas do Sophos Firewall precisam atualizar para receber as proteções mais recentes e essa correção”, disse a empresa .
E os ataques?
O CVE-2022-3236 foi adicionado ao Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA, o que significa que as agências do poder executivo civil federal dos EUA são obrigadas a corrigi-lo.
A Sophos não nomeou as organizações que foram comprometidas por invasores via CVE-2022-3236, mas disse que “informaram cada uma dessas organizações diretamente”.
De acordo com os pesquisadores da Volexity, o CVE-2022-1040 foi usado por um grupo chinês de APT apelidado de “Drifting Cloud” no início de março de 2022.
“O DriftingCloud é um agente de ameaças eficaz, bem equipado e persistente, visando alvos relacionados a cinco venenos. Eles são capazes de desenvolver ou comprar explorações de dia zero para atingir seus objetivos, inclinando a balança a seu favor quando se trata de entrar nas redes de destino”, observaram os pesquisadores.
Vulnerabilidades nos firewalls da Sophos são frequentemente exploradas por invasores.
FONTE: HELPNET SECURITY