Alerta crítica: vulnerabilidades en Sophos Firewall y SonicWall SMA permiten ejecución remota de código
Introducción
Durante la última semana, Sophos y SonicWall han emitido advertencias urgentes sobre nuevas vulnerabilidades críticas en sus productos de firewall y acceso remoto, respectivamente. Estas fallas, que afectan tanto a Sophos Firewall como a los dispositivos SonicWall Secure Mobile Access (SMA) 100 Series, permiten la ejecución remota de código (RCE) por parte de actores maliciosos, representando una amenaza significativa para la seguridad de las redes corporativas y la integridad de los datos. El presente artículo analiza los detalles técnicos, el alcance del problema, los riesgos asociados y las directrices recomendadas para mitigar el impacto, enfocado a profesionales de ciberseguridad.
Contexto del Incidente o Vulnerabilidad
El 9 de junio de 2024, Sophos publicó un aviso de seguridad sobre dos vulnerabilidades críticas en Sophos Firewall. Especialmente preocupante es la vulnerabilidad identificada como CVE-2025-6704, con un CVSS base score de 9.8 (crítico), que afecta a la funcionalidad Secure PDF eXchange (SPX). Esta vulnerabilidad permite la escritura arbitraria de archivos en el sistema, abriendo la posibilidad a la ejecución de código sin autenticación previa. Paralelamente, SonicWall alertó sobre una vulnerabilidad similar en los appliances SMA 100 Series, ampliamente desplegados en entornos de acceso remoto seguro, empleado particularmente en sectores como finanzas, administración pública y salud.
Detalles Técnicos
CVE-2025-6704 afecta a Sophos Firewall en versiones anteriores a la 19.5 MR7 y 20.0 MR2. El fallo reside en la funcionalidad SPX, que es utilizada para el intercambio seguro de documentos en PDF a través del firewall. Un atacante remoto puede aprovechar la validación insuficiente de los datos de entrada para escribir archivos arbitrarios en ubicaciones privilegiadas del sistema operativo subyacente. Esto puede derivar en la escalada de privilegios y la ejecución de comandos arbitrarios con permisos de root.
El vector de ataque principal es la manipulación de peticiones HTTP(S) maliciosas dirigidas al servicio SPX expuesto por el firewall. Según la matriz MITRE ATT&CK, se alinea principalmente con las técnicas T1190 (Exploitation of Remote Services) y T1059 (Command and Scripting Interpreter).
En cuanto a SonicWall, la vulnerabilidad afecta a las versiones SMA 100 Series 10.2.1.7-34sv y anteriores. Un exploit conocido permite a un atacante remoto ejecutar código arbitrario aprovechando la falta de sanitización de los parámetros recibidos en las interfaces de gestión web, logrando acceso persistente al dispositivo y la potencial pivotación hacia la red interna.
Hasta el momento, se han detectado pruebas de concepto (PoC) circulando en foros de hacking y plataformas como GitHub, y se ha reportado la integración de exploits en frameworks como Metasploit y Cobalt Strike. Los Indicadores de Compromiso (IoC) principales incluyen la aparición de archivos sospechosos en directorios del sistema, accesos no autorizados en logs y tráfico inusual hacia los servicios afectados.
Impacto y Riesgos
El impacto potencial es elevado, ya que la explotación exitosa permite la toma de control total de los dispositivos afectados, lo que puede traducirse en filtraciones de datos (violación de GDPR), movimientos laterales, ataques de ransomware o la inserción de puertas traseras persistentes. Sophos estima que más del 20% de sus clientes aún operan con versiones vulnerables, mientras que SonicWall señala que hasta un 15% de los SMA 100 Series desplegados globalmente no han aplicado los parches de seguridad críticos.
Desde una perspectiva de negocio, la explotación de estas vulnerabilidades puede conllevar pérdidas económicas significativas, interrupciones operativas y sanciones regulatorias bajo la legislación europea (GDPR, NIS2). El coste medio de una brecha de seguridad asociada a RCE supera los 2,7 millones de euros, según informes recientes de ENISA.
Medidas de Mitigación y Recomendaciones
Para Sophos Firewall, se recomienda actualizar inmediatamente a la versión 19.5 MR7 o 20.0 MR2, donde la vulnerabilidad ha sido corregida. Igualmente, es fundamental deshabilitar la funcionalidad SPX si no es imprescindible, y monitorizar de forma activa los logs de eventos en busca de actividad anómala.
En el caso de SonicWall SMA, urge aplicar los parches disponibles para la versión 10.2.1.7-34sv y posteriores. Adicionalmente, se aconseja restringir el acceso a la interfaz de administración únicamente desde redes de confianza, implementar autenticación multifactor y revisar la configuración de acceso remoto.
En ambos casos, se recomienda desplegar reglas temporales de firewall para bloquear intentos de explotación conocidos, y realizar pruebas de penetración internas para detectar posibles compromisos previos.
Opinión de Expertos
Expertos del sector, como miembros del foro FIRST y analistas de SANS Internet Storm Center, coinciden en que estas vulnerabilidades ilustran la creciente sofisticación de los ataques dirigidos a soluciones de seguridad perimetral. “La tendencia hacia ataques RCE sobre dispositivos de red y acceso remoto es clara, y las organizaciones no pueden asumir que sus firewalls están fuera de peligro solo por estar actualizados”, afirma Ana Gómez, CISO de una entidad financiera europea.
Implicaciones para Empresas y Usuarios
Las organizaciones deben considerar los dispositivos de seguridad de red como activos críticos y priorizar su gestión y parcheo al mismo nivel que los servidores y endpoints. Un fallo en este tipo de dispositivos puede constituir un vector de entrada devastador para campañas de ransomware, exfiltración de datos o sabotaje industrial. Igualmente, la exposición pública de interfaces de administración debe ser revisada y minimizada.
Conclusiones
El descubrimiento y la rápida explotación de vulnerabilidades críticas en Sophos Firewall y SonicWall SMA 100 Series subrayan la necesidad de una gestión proactiva y continua de la seguridad de dispositivos perimetrales. La aplicación de parches, la reducción de la superficie de ataque y la monitorización avanzada son medidas imprescindibles para mitigar estos riesgos, en un contexto donde la ciberseguridad debe ser un proceso dinámico y priorizado.
(Fuente: feeds.feedburner.com)