Sicherheitspaket UTM von Sophos löchrig
Das Unified-Threat-Management-Paket von Sophos ist bedroht und einem Sicherheitsforscher zufolge können Angreifer etwa die Firewall deaktivieren. Die Lücken sollen bereits gefixt sein; Patches sind aber noch nicht verfügbar.
(Bild: Screenshot)
Sophos' Unified Threat Management (UTM) ist verwundbar. Der Sicherheitsforscher Tim Schughart von Prosec Networks hat eigenen Angaben zufolge acht XSS-Lücken in dem Sicherheitspaket für Anwendungen, E-Mails, Internet und Netzwerk entdeckt. Angreifer sollen die Schwachstellen ohne Authentifizierung über das Webinterface ausnutzen können. Das teilte der Sicherheitsforscher in einer E-Mail mit, die heise Security vorliegt.
Firewall abschalten
Die XSS-Lücken dienen als Einfallstor für den eigentlichen Angriff. Dabei können Angreifer etwa Admin-Sessions übernehmen und dem UTM anschließend JavaScript unterjubeln, warnt Schughart. Anschließend sei es vorstellbar, dass Angreifer etwa die Webcam anzapfen oder sogar die Firewall oder den Virenschutz von UTM deaktivieren können.
(Bild: Prosec Networks)
Angriffe sind dem Kryptologen zufolge auch von außen vorstellbar. In diesem Fall müsste ein Angreifer das Opfer mit einer gefälschten E-Mail auf die falsche Fährte locken und überzeugen, auf einen Link zu klicken. Auch der Besuch einer präparierten Webseite könne den Angriff einleiten.
Grund für die Schwachstellen ist laut Schughart unter anderem die fehlende X-XSS-Protection. Der Ansatz weist Clients dazu an, JavaScript nicht auszuführen. Auch der fehlende X-Content-Type-Header (nosniff) trage dazu bei.
Gefixte Version auf dem Weg
Prosec Networks liegt eigenen Angaben zufolge eine gefixte Alpha-Version vor, die sie aktuell prüfen. Die Sicherheitsfirma gibt an, dass Sophos "professionell mit den Sicherheitslücken umgegangen ist" und die Zusammenarbeit vorbildlich abgelaufen ist.
[UPDATE, 16.12.2015 13:35 Uhr]
Sophos hat die gefixten UTM-Versionen 9.318 und 9.352 zum Download bereitgestellt. (des)
