Sophos已为其Cyberoam防火墙和路由器系列部署了一个修补程序，以修复SQL注入漏洞。
Sophos于2014年购买了防火墙和路由器制造商Cyberoam Technologies，自2019年以来一直免费提供其XG Firewall OS的升级。
今天，Sophos透露，Cyberoam（CROS）操作系统中修复了一个SQL注入漏洞，该漏洞可以远程向CROS设备添加帐户。
“最近发现了预身份验证SQL注入漏洞，并已在Cyberoam操作系统（CROS）设备上修复了该漏洞。这种类型的漏洞可能允许远程执行SQL语句，但前提是必须在管理界面（HTTPS管理服务）上公开WAN区域。” Sophos咨询解释。
Sophos告诉BleepingComputer，他们目前正在调查威胁行为者是否利用了此漏洞。
“一小部分Cyberoam设备受到预身份验证SQL注入漏洞的影响，我们迅速将修补程序部署到这些设备。无需采取进一步措施。更多信息可在社区页面和KBA上获得。”
“ Sophos在一份声明中告诉BleepingComputer：“自2019年初以来，我们一直在逐步淘汰Cyberoam设备，并建议用户更新到XG防火墙。有一个简单的升级途径，可以使Cyberoam用户免费升级其软件。
该漏洞不会影响Sophos XG Firewall和SG UTM设备。
Sophos已 在所有受支持的CROS版本上针对此漏洞部署了一个修补程序，并且受影响的设备应立即更新到最新版本。使用“允许空中修补程序”的CROS设备将自动将修补程序传递到其设备。
要检查是否已安装此修复程序，客户可以从CROS控制台输入以下命令：
cyberoam diagnostics show version-info管理员应将输出的版本信息与下表进行比较，以确定是否已添加此修复程序。如果修补程序版本号等于或大于控制台中显示的数字，则表示已安装此修补程序。
| CROS版本 | 硬件型号 | 修补程序版本 |
| 10.6.6 MR6 | 所有 | 3 |
| 10.6.6 MR5 | 所有 | 12 |
| 10.6.6 MR4 | 所有 | 13 |
| 10.6.6 MR3 | 所有 | 16 |
| 10.6.6 MR2 | 所有 | 16 |
| 10.6.6 MR1 | 所有 | 16 |
| 10.6.6 GA | CR10 / 15 所有其他 | 19 20 |
| 10.6.5 MR1 | CR10 / 15 所有其他 | 17 18岁 |
| 10.6.5 GA | 所有 | 18岁 |
| 10.6.4 MR1 | CR10 / 15 所有其他 | 20 21 |
| 10.6.4 GA | CR10 / 15 所有其他 | 19 20 |
Sophos还建议管理员禁用对Web管理员和SSH接口的WAN访问，并检查设备中是否有可疑用户。
Cyberoam所有者可以使用此迁移指南学习如何迁移到XG Firewall软件。
*编译：Domino
*来自：bleepingcomputer