Una vulnerabilidad de inyección SQL en el proxy SMTP heredado (transparente) de Sophos Firewall versiones anteriores a 21.0 MR2 (21.0.2) puede conducir a la ejecución remota de código, si una política de cuarentena está activa para

La inyección SQL en Sophos Firewall permite a un atacante inyectar código SQL malicioso en las consultas a la base de datos del firewall. Si una política de cuarentena de correo electrónico está activa, y el firewall se ha actualizado desde una versión anterior a 21.0 GA, un atacante podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el sistema subyacente. Esto podría resultar en la obtención de información confidencial, la modificación de la configuración del firewall, o incluso el control total del dispositivo. La severidad crítica de esta vulnerabilidad se debe a la posibilidad de ejecución remota de código, lo que representa un riesgo significativo para la seguridad de la red.

Organizations relying on Sophos Firewall for email security, particularly those with active email quarantining policies and legacy firewall deployments (versions older than 21.0 GA), are at significant risk. Shared hosting environments where multiple customers share a single Sophos Firewall instance are also vulnerable, as a compromise of one customer's email could potentially impact others.

• sophos: Examine Sophos Firewall logs for unusual SQL query patterns, specifically targeting the SMTP proxy. Look for queries containing SQL keywords like UNION, SELECT, INSERT, UPDATE, or DELETE.

Get-SophosFirewallLog -LogType 'SQLInjection' -StartTime (Get-Date).AddDays(-7)

• linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/messages) for suspicious processes or network connections originating from the Sophos Firewall. Use lsof or ss to identify processes listening on unusual ports or connecting to unexpected destinations.

lsof -i :25 | grep sophos

• generic web: If the SMTP proxy is exposed externally, use curl or wget to probe for potential injection points. Examine response headers for unexpected SQL error messages.

curl -H "X-Custom-Header: '; DROP TABLE users; --" http://sophosfirewall/smtp_proxy

1. 2025-07-21Disclosure

   disclosure

1. Reservado2025-07-14
2. Publicada2025-07-21
3. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Sophos Firewall a la versión 21.0 MR2 (21.0.2) o superior. Si la actualización es problemática, considere una reversión a una versión anterior conocida como estable, pero tenga en cuenta que esto podría introducir otras vulnerabilidades. Como medida temporal, desactive la política de cuarentena de correo electrónico si no es esencial. Monitoree los registros del firewall en busca de patrones sospechosos de inyección SQL, como consultas SQL inusuales o errores relacionados con la base de datos. Implemente reglas en un firewall de aplicaciones web (WAF) o proxy para filtrar tráfico malicioso que intente explotar la vulnerabilidad. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las consultas SQL se ejecutan correctamente y que no se pueden inyectar comandos maliciosos.