Am 24.11.2021 hat Sophos UTM 9.708 herausgegeben. Die Firmware steht auf ftp.astaro.com zum Download bereit (u2d-sys-9.707005-708006.tgz.gpg) und ist knapp 206 MB groß. Es handelt sich um ein Maintenance/Security Release, dass einige Fehler beseitigt.

Die Voraussetzung für das Update ist, dass Ihr mindestens auf dem Firmwarestand UTM 9.707 seid. Mit der Firmware wurde die Post-Authentifizierungs-SQL-Injection-Schwachstelle im Benutzerportal (CVE-2021-36807) gefixt. Das DFN-Cert hat zu dieser und weiteren Lücken einen Advisory online gestellt: Sophos UTM Software: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes.

In UTM 9.708-6 ist auch ein Update für OpenSSL enthalten, das die Unterstützung für Ciphersuites entfernt, die den non-EC Diffie-Hellman(DH)-Algorithmus für den Schlüsselaustausch enthalten (CVE-2020-1968) & (CVE-2021-3712).

Solltet Ihr Verbindungen zu externen SSL/TLS-Diensten herstellt haben, auf denen alte Software mit eingeschränkter Unterstützung für modernere Protokolle läuft, kann dies zu Verbindungsproblemen führen.

Anbei die Liste der Fehlerbehebungen:

NUTM-12646 [Access & Identity] User E-Mail addresses won't be synced properly
NUTM-12873 [Access & Identity] GUI issue with selecting Inbound/Outbound ipsec debug option
NUTM-12904 [Access & Identity] DUO authentication fails back to AD with success
NUTM-12434 [Basesystem] Yukon, Canada region timezone set to stop using DST
NUTM-12507 [Basesystem] Getting error message for command 'last'
NUTM-12717 [Basesystem] Resolve OpenSSL issues - Remove DH cipher support - (CVE-2020-1968) & (CVE-2021-3712)
NUTM-12748 [Basesystem] Address underscore.js vulnerability (CVE-2021-23358)
NUTM-12739 [Email] E-Mails stuck in SMTP spool due to Sandstorm Scan
NUTM-12798 [Email] SPX doesn't work with "&" in the email local part
NUTM-12875 [Email] PCI compliance scan failure due to exim ciphers
NUTM-12932 [Email] Exim coredumps
NUTM-12934 [Kernel] Fully implement RFC5961 compliance for SYN packets (CVE-2004-0230)
NUTM-12385 [Logging] Automatic log deletion by age of log file not working correctly.
NUTM-11404 [Network] Sierra Wireless MC7430 Qualcomm® SnapdragonTmX7 LTE-A 4G dongle goes down after few hours
NUTM-12126 [Network] If "Skip rule on interface error" is not used multipath rule doesn't work as expected
NUTM-12184 [Network] WAN interface switched to DHCP
NUTM-12519 [UI Framework] Post-auth SQLi in User Portal (CVE-2021-36807)
NUTM-12524 [UI Framework] Add Cache-Control header for Web Admin and User Portal
NUTM-13002 [UI Framework] AutoComplete Attribute Not Disabled for Password in Form-Based Authentication
NUTM-12680 [WAF] Unable to renew Let's Encrypt Certificate
NUTM-12285 [Web] Avira scan fails for certain files during upload through Webproxy
NUTM-11712 [Wireless] Built-in Wireless with two bridge to AP LAN errors and instability
NUTM-12199 [Wireless] Issue with the certificate chain for Let's Encrypt when used for hotspot
NUTM-12372 [Wireless] LocalWiFi : Intermittently unable to connect to the Wireless SSID
NUTM-12859 [Wireless] IPTtables rules are not created for AP being part of 'Access Point Group'

Bei Fragen schreibt Ihr mir gerne eine E-Mail oder Ihr hinterlasst einen Kommentar. Weitere Informationen findet Ihr in diesem Beitrag: UTM Up2Date 9.708 Released.

Update: Artikel wurde aktualisiert.