Sophos UTM: Sicherheitsupdate schützt vor Angriffen aus der Ferne
(Bild: geralt)
Sophos hat im Zuge der neuen Version 9.602 drei Sicherheitslücken aus seiner Unified-Threat-Management-Appliance entfernt.
Sophos hat eine neue Version seiner Unified-Threat-Management-Lösung (Sophos UTM) veröffentlicht und in diesem Zuge insgesamt drei Sicherheitslücken beseitigt. Das CERT des Deutschen Forschungsnetzes (DFN-CERT) warnt in einem Security Advisory [1] davor, dass sie von einem entfernten, nicht authentisierten Angreifer missbraucht werden können, um „Benutzernamen auszuspähen, Sicherheitsvorkehrungen zu umgehen und einen Cross-Site-Scripting (XSS)-Angriff durchzuführen“.
Hohes Risiko durch CVE-2018-17199
Zwei der Lücken basieren auf – allerdings schon vor längerer Zeit mittels neuer Versionen abgesicherter – Drittanbieterkomponenten: CVE-2018-15473 bezeichnet eine im August vergangenen Jahres geschlossene Lücke im Fernzugriffs- und Dateiübertragungstool OpenSSH [2]; CVE-2018-17199 steckte in Apache HTTP Server Release bis einschließlich 2.4.37 [3]. Keine der beiden Lücken gilt als kritisch; die National Vulnerability Database stuft erstere mittels CVSS-v3-Score [4] als „Medium“ und letztere immerhin als „High“ ein.
Für die dritte Scherheitslücke nutzt Sophos in seinen Release-Notes den internen Bezeichner NUTM-10480 [5] und schreibt dazu lediglich, dass über sie Cross-Site-Scripting-Angriffe möglich seien.
Version 9.602 steht zum Download bereit
Nutzer können Version 9.602 derzeit manuell herunterladen [6]; später soll die neue Version automatisch über Sophos‘ Up2Date-Server verteilt werden. Wann es soweit sein wird, geht aus den Release-Notes nicht hervor. Der Hersteller weist darauf hin, dass während des Update-Prozesses ein Neustart erfolgt. (ovw [7])
URL dieses Artikels:
https://www.heise.de/-4410754
Links in diesem Artikel:
[1] https://adv-archiv.dfn-cert.de/adv/2019-0857/
[2] https://www.heise.de/news/Updates-schliessen-19-Jahre-alte-Sicherheitsluecke-in-Remote-Tool-OpenSSH-4144267.html
[3] https://nvd.nist.gov/vuln/detail/CVE-2018-17199#vulnCurrentDescriptionTitle
[4] https://www.first.org/cvss/specification-document#5-Qualitative-Severity-Rating-Scale
[5] https://community.sophos.com/products/unified-threat-management/b/utm-blog/posts/utm-up2date-9-602-released
[6] http://ftp.astaro.com/UTM/v9/up2date/
[7] mailto:olivia.von.westernhagen@gmail.com
Copyright © 2019 Heise Medien