CVE-2023-1671

Vulnerabilidade crítica de injeção de comando pré-autenticação no handler warn-proceed do Sophos Web Appliance (SWA), permitindo execução remota de código sem qualquer credencial. A CISA confirmou exploração ativa in-the-wild antes mesmo da correção ser amplamente aplicada, e o produto está em fim de vida desde julho de 2023 — o que significa que dispositivos ainda em produção não recebem mais patches novos além do 4.3.10.4.

A falha é uma injeção de comando (CWE-77) localizada no componente que processa a página de aviso "warn-proceed" do SWA — a tela intersticial que aparece quando um usuário tenta acessar um site classificado como potencialmente indesejado e precisa clicar em "continuar" para prosseguir. O handler que processa essa requisição de continuação constrói e executa um comando de sistema incorporando dados que chegam da requisição HTTP, sem sanitização adequada, permitindo que um atacante injete comandos arbitrários que o appliance executa com os privilégios do processo.

O ponto crítico é que esse handler é acessível sem autenticação — faz parte do fluxo normal de navegação de qualquer usuário da rede, não da interface administrativa. Isso elimina a barreira de credenciais que normalmente reduziria o risco de bugs de injeção de comando em appliances de gestão.

O advisory da Sophos não detalha qual parâmetro específico é injetável nem a sintaxe exata do payload, e as fontes disponíveis não incluem uma análise técnica pública decompondo o código vulnerável linha a linha. O que se sabe com certeza, tanto pela descrição oficial quanto pela entrada da CISA KEV, é a localização funcional (warn-proceed handler), a classe da falha (CWE-77) e a ausência de autenticação como pré-requisito.

O vetor é rede: um atacante com acesso HTTP/HTTPS à interface de proxy do SWA — a porta que os clientes usam para navegação filtrada, não a interface administrativa — pode disparar a injeção enviando uma requisição manipulada ao endpoint do warn-proceed. Não é necessário login, não é necessário que o alvo seja administrador, e não há indicação de que dependa de configuração não padrão do appliance.

A CISA confirmou exploração ativa antes da entrada no catálogo KEV (adicionada em 2023-11-16, prazo de mitigação 2023-12-07), e o EPSS próximo de 1.0 reflete probabilidade de exploração praticamente certa dado que existe PoC pública e template Nuclei disponível, o que baixa a barreira técnica para varreduras automatizadas em massa. Não há confirmação pública de uso em campanhas de ransomware conhecidas (a própria CISA marca esse campo como "Unknown").

O resultado final da exploração é execução de código arbitrário no appliance com os privilégios do processo que atende a requisição — na prática, controle do dispositivo que já está posicionado como ponto central de inspeção de tráfego web da organização, o que amplifica o impacto além do próprio host comprometido.

A correção é atualizar para Sophos Web Appliance 4.3.10.4 ou posterior. Segundo a Sophos, não há workaround oficial ("Workaround: No") — a única mitigação real é a atualização de versão. A própria fabricante afirma que, por padrão, as atualizações são instaladas automaticamente nos dispositivos SWA, então "não é necessário nenhuma ação por parte do cliente" — mas isso pressupõe que o appliance esteja ligado, com atualização automática habilitada e ainda dentro do ciclo de suporte, o que não é garantido em ambientes onde o dispositivo foi deixado rodando sem monitoramento.

Ponto crítico: o fim de vida (EOL) do Sophos Web Appliance foi em 20 de julho de 2023. Qualquer instância ainda em operação hoje está fora de suporte e não receberá novos patches — a atualização para 4.3.10.4 resolve esta CVE específica, mas não resolve o problema estrutural de rodar um produto descontinuado exposto à rede. Como controle compensatório, a Sophos recomenda que o SWA fique protegido por firewall e não seja acessível diretamente pela internet pública — reduz a superfície de ataque pré-autenticação, mas não elimina risco de movimento lateral interno.

Não existe mitigação via WAF documentada nas fontes disponíveis, e não é seguro assumir que regras genéricas de bloqueio de shell metacharacters cubram o vetor específico sem entender o parâmetro exato injetado — informação que as fontes consultadas não detalham.

As fontes consultadas não trazem uma assinatura de log ou padrão de tráfego oficial para detectar tentativas de exploração — nem o advisory da Sophos nem a entrada da CISA KEV detalham indicadores de comprometimento específicos. Na ausência de IoCs publicados, a defesa prática é monitorar requisições HTTP anômalas dirigidas ao endpoint de warn-proceed do appliance (caracteres de shell, sequências de escape, comprimento incomum de parâmetros) e correlacionar com execução de processos inesperados no host do SWA logo após tráfego HTTP recebido — mas isso exige instrumentação que a maioria dos ambientes não tem configurada para esse appliance específico.