Sophos UTMにroot権限で任意コード実行の脆弱性、手動パッチあり
EOLのSophos UTMで、メールプロキシ経由でrootのコード実行に至る脆弱性が見つかりました。メールのスキャンを有効にしたUTM 9.724以下を使っている組織が対象で、自動更新では直らないため、パッチを手動で適用する必要があります。
急ぎ度: 早めに
実際の悪用は確認されていませんが、認証なしでroot権限のコード実行に至り、CVSS v4は9.2、EOL製品のため修正版は手動適用になります。
関係があるか
Sophos UTMを社内ネットワークの境界に置き、メールプロキシでスキャンを有効にしている組織です。メールのウイルス検査やスパム検査をUTMに任せている環境が当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Sophos UTM（SG UTM） | 9.724以下（全版） | 手動で適用するパッチが提供されています。パッチの名称と版はSophosのアドバイザリで確認してください。 |
確かめ方
- 1UTMの管理画面で、現在のファームウェアの版を確認します。9.724以下なら対象です。
- 2メールプロキシを使っているかを、設定画面で確認します。
- 3メールプロキシを使っている場合は、ウイルスやスパムのスキャンが有効になっているかを確認します。有効なら、今回の脆弱性の条件に当てはまります。
- 4インターネット側からメールプロキシの待ち受けポートに到達できるかを、ファイアウォールの設定で確認します。
何が起きたか
Sophos UTMのメールプロキシに、機器の最上位権限であるrootで任意のコードを実行されるおそれのある脆弱性が見つかりました。Sophosは2026年10月28日にアドバイザリを公表しています。
原因はパス・トラバーサル（CWE-35）で、タイミングに依存する競合状態が絡みます。CVSS v3は8.1、v4は9.2です。
Sophos UTMはすでにEOLを迎えており、対象は全版です。通常のアップデートでは修正されず、パッチを手動で入れる必要があります。
攻撃の流れ
-
1
外部から到達
インターネット側からUTMのメールプロキシに通信が届きます。
-
2
処理を繰り返す
メールのスキャン処理に対し、攻撃者が不正な操作を数分間続けます。
-
3
競合に勝つ
処理のタイミングが重なり、パスの検証をすり抜ける瞬間が生まれます。
-
4
rootで実行
機器上で、root権限の任意のコードが動きます。
-
5
内部へ波及
乗っ取られた境界機器が、内部ネットワークへの足がかりになるおそれがあります。
どう悪用されるか
攻撃者に必要なのは、ネットワーク越しにメールプロキシへ到達できることだけです。認証は要らず、管理者や利用者の操作も要りません。UTM側でメールプロキシのスキャンが有効になっていることが前提です。
競合状態に勝つ必要があり、成功まで数分間、攻撃を続けなければならないとされています。CVSS v3は攻撃の難しさを高と評価していますが、v4では低としており、評価は分かれています。数分続くため、短時間の単発アクセスより目立ちやすいはずです。
成功すると、rootで任意のコードを実行されます。機密性・完全性・可用性のいずれもCVSSで高と評価されています。境界機器では、通信の盗み見、設定の改ざん、内部への侵入などが想定されます。
今すぐやること
-
1
対象かどうかを確認する
UTMの版を確認し、メールプロキシの利用とスキャンの有効状況を洗い出します。複数台あれば、すべて調べます。
-
2
手動パッチを適用する
Sophosのアドバイザリからパッチを入手し、手順どおりに適用します。作業の前に設定のバックアップを取り、再起動によるメール停止の時間帯を調整します。
-
3
適用までの間、露出を減らす
すぐに適用できない場合は、下記の回避策を検討します。
-
4
ログに痕跡がないかを見る
メールプロキシへの短時間の連続アクセスや、見覚えのない設定変更、管理者以外のプロセスやアカウントがないかを調べます。
-
5
後継製品への移行を計画する
EOLの機器は、今後もパッチの扱いが特例になりかねません。メール保護とファイアウォールの機能を、サポート中の製品へ移す計画を立てます。
すぐ更新できないとき
脆弱性の条件は、メールプロキシをスキャン有効で使っていることです。メールのスキャンを止められるなら、露出を減らせる見込みです。ただし検査が止まるため、メールゲートウェイなど別の検査手段が前提になります。メールプロキシの待ち受けを必要な送信元だけに絞るのも手です。いずれもSophosが示す公式の回避策かどうかは、アドバイザリで確認してください。
背景
Sophos UTMは、ファイアウォール、VPN、Webフィルタ、メール保護を1台にまとめた統合脅威管理のアプライアンスです。小規模な拠点や中小企業では、インターネットとの出入口をこの1台に任せていることが多く、メールの検査もその機能の一つです。今回の脆弱性は、まさにそのメール検査の処理にあります。
パス・トラバーサルは、本来アクセスさせない場所にまでファイルパスをたどらせてしまう種類の脆弱性です。今回はこれに競合状態が加わり、1回で成功するとは限らない代わりに、時間をかければ成功を狙えます。EOLを迎えた機器では、修正版が出ないまま使い続けられるケースも多く、今回パッチが提供されたのは対象組織にとって好機です。
よくある質問
Q.攻撃に数分かかるなら、見逃しても大丈夫ですか。
Q.メールプロキシを使っていない場合はパッチを当てなくてよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかは、Sophosのアドバイザリではまだ示されていません。
- 手動パッチの名称と版番号は、本稿では確認できていません。Sophosのアドバイザリで確認してください。
- メールプロキシ以外に、同じ脆弱性へ至る経路があるかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Sophos | SG UTM |
9.724 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A path traversal vulnerability allows a remote unauthenticated attacker to execute arbitrary code as root in Sophos UTM (all versions) after winning a race condition by sustaining repeated attacks for a few minutes when the email proxy is used with scanning enabled. Sophos UTM is end-of-life and the patch must be installed manually.
出典: CVE.org (CVE Program・cvelistV5) NVD