CVE:CVE-2018-16118
CNNVD:CNNVD-201906-838
Sophos XG firewall是英国Sophos公司的一款下一代端点保护与企业级防火墙产品。API Configuration是其中的一个API配置组件。
Sophos XG firewall 17.0.8 MR-8版本中的API Configuration组件的/webconsole/APIController存在安全漏洞。攻击者可借助‘X-Forwarded-for’字段中带有shell元字符的HTTP头利用该漏洞执行任意的操作系统命令。
solution:Upgrade sophos sfos to a higher version than 16.0,16.5,17.0,17.0.8:mr8,17.1,and avoid the version (,16.0],16.5,17.0,17.0.8:mr8,17.1