أعلنت شركة Sophos عن اكتشاف ثغرتين أمنيتين بالغتي الخطورة تؤثران على جدار الحماية Sophos Firewall، تتيحان للمهاجمين تنفيذ أوامر عن بُعد دون الحاجة إلى مصادقة مسبقة في ظروف معينة.
-
CVE-2025-6704 (درجة الخطورة 9.8): تسمح هذه الثغرة بكتابة ملفات عشوائية ضمن ميزة Secure PDF eXchange (SPX)، مما يتيح تنفيذ أوامر عن بُعد دون مصادقة إذا كانت الميزة مفعّلة والجدار الناري يعمل في وضع التوافر العالي (HA).
-
CVE-2025-7624 (درجة الخطورة 9.8): وهي ثغرة حقن SQL في وكيل SMTP الشفاف القديم، ويمكن استغلالها لتنفيذ أوامر عن بُعد إذا كانت سياسة العزل البريدي مفعلة، وكان النظام قد تم تحديثه من إصدار أقدم من 21.0 GA.
سوفوس أوضحت أن الثغرة الأولى تؤثر على حوالي 0.05% من الأجهزة، بينما تؤثر الثانية على نحو 0.73% منها. وتمت معالجة كلتا الثغرتين ضمن مجموعة إصلاحات أوسع تشمل أيضاً ثغرة حرجة في WebAdmin.
ثغرات إضافية تم تصحيحها في Sophos Firewall
-
CVE-2025-7382 (درجة الخطورة 8.8): ثغرة تنفيذ أوامر عبر WebAdmin تؤثر على الأجهزة الثانوية في وضع التوافر العالي (HA) عند تفعيل المصادقة الثنائية (OTP) للمستخدم الإداري.
-
CVE-2024-13974 (درجة الخطورة 8.1): ثغرة منطقية في مكون التحديث (Up2Date) قد تتيح للمهاجمين التحكم في بيئة DNS الخاصة بالجدار الناري لتنفيذ أوامر عن بُعد.
-
CVE-2024-13973 (درجة الخطورة 6.8): ثغرة حقن SQL بعد المصادقة في WebAdmin قد تسمح بتنفيذ أوامر تعسفية من قبل الإداريين.
تم الإبلاغ عن الثغرتين الأخيرتين بواسطة المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC)، وتشمل الإصدارات المتأثرة ما يلي:
-
CVE-2024-13974 و CVE-2024-13973: تؤثران على Sophos Firewall v21.0 GA (21.0.0) والإصدارات الأقدم.
-
CVE-2025-6704 و CVE-2025-7624 و CVE-2025-7382: تؤثر على Sophos Firewall v21.5 GA (21.5.0) والإصدارات الأقدم.
ثغرة حرجة في واجهة إدارة SMA 100 من SonicWall
في ذات السياق، كشفت شركة SonicWall عن ثغرة حرجة في واجهة إدارة الويب الخاصة بسلسلة SMA 100، يمكن استغلالها من قبل مهاجم يمتلك صلاحيات إدارية لرفع ملفات عشوائية وتنفيذ أوامر عن بُعد.
-
CVE-2025-40599 (درجة الخطورة 9.1): تؤثر هذه الثغرة على أجهزة SMA 210 و410 و500v، وتمت معالجتها في الإصدار 10.2.2.1-90sv.
رغم عدم رصد استغلال فعلي للثغرة حتى الآن، فإن الشركة حذّرت من احتمال استغلالها في ضوء تقرير حديث صادر عن مجموعة استخبارات التهديدات التابعة لغوغل (GTIG)، التي رصدت استخدام مجموعة تهديد تدعى UNC6148 لأجهزة SMA 100 محدثة بالكامل لنشر باب خلفي يُعرف باسم OVERSTEP.
توصيات SonicWall لحماية الأجهزة
حثّت SonicWall مستخدمي أجهزة SMA 100 على اتخاذ التدابير التالية:
-
تعطيل الوصول عن بُعد لواجهة الإدارة الخارجية (X1).
-
إعادة تعيين جميع كلمات المرور وإعادة تهيئة المصادقة الثنائية (OTP) للمستخدمين والمديرين.
-
تفعيل المصادقة متعددة العوامل (MFA) لجميع المستخدمين.
-
تفعيل جدار حماية تطبيقات الويب (WAF) على أجهزة SMA 100.
-
مراجعة سجلات الأجهزة وسجل الاتصال لرصد أي نشاط مشبوه أو وصول غير مصرح به.
أما بالنسبة لمستخدمي المنتج الافتراضي SMA 500v، فيُطلب منهم نسخ ملف OVA احتياطياً، وتصدير الإعدادات، ثم حذف الآلة الافتراضية والأقراص واللقطات المرتبطة بها، وإعادة تثبيت النسخة الجديدة من OVA من موقع SonicWall، وأخيراً استعادة التكوينات.
