CVE-2022-1040

IMMEDIATE ACTIONS:

1. Identify all Sophos Firewall instances in your environment and document versions

2. Isolate or restrict external access to affected Sophos Firewall User Portal and Webadmin interfaces immediately

3. Enable enhanced logging and monitoring on all Sophos Firewall instances

4. Review firewall logs for suspicious authentication attempts or anomalous access patterns



PATCHING:

1. Apply Sophos Firewall security patches immediately (v18.5.4, v19.0.3, v19.5.1 or later)

2. Test patches in non-production environment first

3. Schedule emergency patching windows for production systems

4. Verify patch application and restart firewall services



COMPENSATING CONTROLS (if patching delayed):

1. Restrict network access to Webadmin and User Portal to trusted IP ranges only

2. Implement WAF rules to block suspicious authentication requests

3. Disable User Portal and Webadmin if not actively required

4. Deploy network segmentation to limit firewall access



DETECTION:

1. Monitor for HTTP POST requests to /userportal or /webadmin with unusual payloads

2. Alert on authentication bypass attempts (HTTP 200 responses without valid credentials)

3. Track process execution spawned from Sophos Firewall processes

4. Monitor for outbound connections from firewall to external C2 infrastructure

الإجراءات الفورية:

1. حدد جميع نسخ جدار حماية Sophos في بيئتك وقم بتوثيق الإصدارات

2. قيد أو اقطع الوصول الخارجي إلى بوابة المستخدم وواجهات Webadmin المتأثرة فوراً

3. فعّل السجلات والمراقبة المحسّنة على جميع نسخ جدار حماية Sophos

4. راجع سجلات جدار الحماية للبحث عن محاولات مصادقة مريبة أو أنماط وصول شاذة



التصحيح:

1. طبّق تصحيحات أمان جدار حماية Sophos فوراً (v18.5.4، v19.0.3، v19.5.1 أو أحدث)

2. اختبر التصحيحات في بيئة غير الإنتاج أولاً

3. جدول نوافذ تصحيح طارئة للأنظمة الإنتاجية

4. تحقق من تطبيق التصحيح وأعد تشغيل خدمات جدار الحماية



الضوابط البديلة (إذا تأخر التصحيح):

1. قيد الوصول إلى Webadmin وبوابة المستخدم إلى نطاقات IP موثوقة فقط

2. طبّق قواعد WAF لحجب طلبات المصادقة المريبة

3. عطّل بوابة المستخدم و Webadmin إذا لم تكن مطلوبة بنشاط

4. طبّق تقسيم الشبكة لتحديد وصول جدار الحماية



الكشف:

1. راقب طلبات HTTP POST إلى /userportal أو /webadmin برسائل غير عادية

2. أصدر تنبيهات لمحاولات تجاوز المصادقة (استجابات HTTP 200 بدون بيانات اعتماد صحيحة)

3. تتبع تنفيذ العمليات المنبثقة من عمليات جدار حماية Sophos

4. راقب الاتصالات الصادرة من جدار الحماية إلى البنية التحتية الخارجية