Sophos UTM: Path Traversal ohne Authentifizierung führt zu Remote Code Execution als root
Zusammenfassung
Eine Path-Traversal-Schwachstelle in Sophos UTM, das end-of-life ist, erlaubt einem entfernten, nicht authentifizierten Angreifer, beliebige Befehle als root auszuführen. Der Angriff erfordert das Gewinnen einer Race Condition durch wiederholte Anfragen über einige Minuten und betrifft den E-Mail-Proxy mit aktivierter Prüfung. Sophos gibt an, dass der Fix manuell installiert werden muss.
Betroffen
- Sophos UTM (alle Versionen) laut Herstellerhinweis
- Aggregatoren nennen eine Versionsobergrenze von 9.724; dies ist unbestätigt und widerspricht der Herstelleraussage
- Relevante Konfiguration: E-Mail-Proxy mit aktivierter Prüfung
Behoben in
- Laut Sophos ist ein Fix verfügbar, der manuell installiert werden muss
- Installationsanleitung: KBA-000049692 (durch diesen Tracker nicht verifiziert)
- Alternative: Migration auf eine unterstützte Version von Sophos Firewall
Umgehung
- Sophos veröffentlicht keinen Workaround.
- Nicht verifizierte Vorschläge Dritter: E-Mail-Proxy deaktivieren, falls nicht benötigt, Zugriff auf vertrauenswürdige interne Subnetze beschränken oder eine WAF bzw. ein IPS vor dem Gerät platzieren (dies filtert den Datenverkehr, behebt die Schwachstelle jedoch nicht).
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn; die CVE ist laut Sekundärquellen nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher PoC: unklar; ein Sploitus-Eintrag ist nicht verifiziert, und Vuldb meldet keinen verfügbaren Exploit.
- Keine veröffentlichten Indicators of Compromise gefunden.
Unsere Empfehlung
- Alle UTM-Geräte erfassen und prüfen, ob E-Mail-Proxy und Prüfung aktiviert sind.
- E-Mail-Proxy isolieren oder einschränken, insbesondere wenn er aus dem Internet erreichbar ist.
- Herstellerpatch manuell einspielen, sobald die KBA-Anleitung verifiziert ist, oder Migration auf eine unterstützte Sophos Firewall planen.
- Protokolle bis zum Patch auf ungewöhnliche oder wiederholte E-Mail-Proxy-Anfragen prüfen.
- Priorität anhand des CVSS-4.0-Werts 9.2 (Critical) festlegen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Sophos Security Advisory SA-20261028-utm-rce www.sophos.com
- Vuldb CVE-2026-118633 vuldb.com
- Brandefense: Sophos UTM CVE-2026-118633 brandefense.io
- OffSeq Radar CVE-2026-118633 radar.offseq.com
- ThreatInt CVE-2026-118633 cve.threatint.com
- Strix CVE-2026-118633 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.