2017-0999: Sophos Web Appliance: Zwei Schwachstellen ermöglichen einen Cross-Site-Scripting-Angriff und die Manipulation der Anwendung

Historie:

Version 1 (2017-06-09 16:37)

Neues Advisory

Betroffene Software

Sicherheit
Systemsoftware

Betroffene Plattformen

Hardware
Netzwerk
Sophos

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen in Sophos Web Appliances unter bestimmten Umständen ausnutzen, um einen Cross-Site-Scripting (XSS)-Angriff durchzuführen oder die Anwendung durch Manipulation eines Updates zu kompromittieren.

Der Hersteller informiert über die Schwachstellen und weitere Fehler und stellt die Version 4.3.2 als Sicherheitsupdate zur Verfügung, das im Verlauf der kommenden Wochen ausgeliefert wird (siehe Blogbeitrag). Zur Behebung der zweiten Schwachstelle implementiert das Release die Verwendung von HTTPS mit Certificate Pinning für den Download von Produkt-Updates. Sobald der Rollout des Releases abgeschlossen ist, soll die Sophos-Infrastruktur auf die Verwendung von HTTPS umgestellt werden.

Schwachstellen:

CVE-2017-9523

Schwachstelle in Sophos Web Appliance ermöglicht Cross-Site-Scripting-Angriff

NSWA-1330

Schwachstelle in Sophos Web Appliance ermöglicht Manipulation von Dateien

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.