CVE-2023-1671

IMMEDIATE ACTIONS:

1. Identify all Sophos Web Appliance instances in your environment and document their network position

2. Implement network segmentation to restrict access to appliance management interfaces to authorized administrative networks only

3. Enable detailed logging and monitoring of the warn-proceed handler for suspicious requests

4. Review firewall rules to restrict inbound access to web appliance ports from untrusted networks



PATCHING GUIDANCE:

1. Apply Sophos security updates immediately - patches are available for all supported versions

2. Test patches in non-production environment first, but expedite to production within 24-48 hours

3. Verify patch application by checking Sophos version and build numbers post-update

4. Schedule maintenance windows during low-traffic periods to minimize business impact



COMPENSATING CONTROLS (if patching delayed):

1. Deploy Web Application Firewall (WAF) rules to block requests containing command injection patterns to warn-proceed handler

2. Implement rate limiting on warn-proceed endpoint

3. Restrict administrative access to appliance to specific IP ranges

4. Enable enhanced logging for all requests to warn-proceed handler



DETECTION RULES:

1. Monitor for HTTP requests to /warn-proceed with suspicious parameters containing shell metacharacters (|, ;, &, $, `, etc.)

2. Alert on any successful code execution attempts indicated by unusual process spawning from Sophos processes

3. Track failed authentication attempts followed by exploitation attempts

4. Monitor for outbound connections from Sophos appliance to external command and control servers

الإجراءات الفورية:

1. حدد جميع أجهزة Sophos Web Appliance في بيئتك وقم بتوثيق موقعها في الشبكة

2. طبق تقسيم الشبكة لتقييد الوصول إلى واجهات إدارة الجهاز للشبكات الإدارية المصرح بها فقط

3. فعّل التسجيل والمراقبة المفصلة لمعالج warn-proceed للطلبات المريبة

4. راجع قواعد جدار الحماية لتقييد الوصول الداخلي إلى منافذ الجهاز من الشبكات غير الموثوقة



إرشادات التصحيح:

1. طبق تحديثات أمان Sophos فوراً - التصحيحات متاحة لجميع الإصدارات المدعومة

2. اختبر التصحيحات في بيئة غير الإنتاج أولاً، لكن عجّل بالنقل إلى الإنتاج خلال 24-48 ساعة

3. تحقق من تطبيق التصحيح بفحص أرقام الإصدار والبناء بعد التحديث

4. جدول نوافذ الصيانة خلال فترات حركة المرور المنخفضة لتقليل تأثير الأعمال



الضوابط البديلة (إذا تأخر التصحيح):

1. نشر قواعد جدار تطبيقات الويب (WAF) لحجب الطلبات التي تحتوي على أنماط حقن أوامر إلى معالج warn-proceed

2. طبق تحديد معدل على نقطة نهاية warn-proceed

3. قيّد الوصول الإداري إلى الجهاز لنطاقات IP محددة

4. فعّل التسجيل المحسّن لجميع الطلبات إلى معالج warn-proceed



قواعد الكشف:

1. راقب طلبات HTTP إلى /warn-proceed بمعاملات مريبة تحتوي على أحرف shell (|، ;، &، $، `، إلخ)

2. أصدر تنبيهات عند أي محاولات تنفيذ أكواد ناجحة يشير إليها توليد عمليات غير عادي من عمليات Sophos

3. تتبع محاولات المصادقة الفاشلة متبوعة بمحاولات الاستغلال

4. راقب الاتصالات الصادرة من جهاز Sophos إلى خوادم التحكم والقيادة الخارجية