【漏洞预警】Sophos 的防火墙系统存在3个重大资安漏洞

转发 台湾电脑网路危机处理暨协调中心 TWCERTCC-200-202507-00000021

Sophos发布关于防火墙的资安公告，指出旗下的防火墙产品存在3个重大资安漏洞，并提出修补版本，呼吁用户尽快检查系统是否套用相关更新。 

【CVE-2025-6704，CVSS：9.8】 安全PDF交换(Secure PDF eXchange，SPX)功能存在任意文件写入漏洞，若启用SPX的特定配置且防火墙处于高可用性(HA)模式，可能导致预授权远端程式码执行。 

【CVE-2025-7624，CVSS：9.8】 Legacy (transparent) SMTP proxy存在一项SQL注入漏洞，若电子邮件启用隔离政策，且系统从21.0 GA之前的版本升级至现有版本，可能导致远端程式码执行。 

【CVE-2025-7382，CVSS：8.8】 WebAdmin 存在命令注入漏洞，若管理员启用OTP验证，则可能导致相邻攻击者在高可用性(HA)辅助设备上实现预授权程式码执行。

情资分享等级: WHITE(情资内容为可公开揭露之资讯)

烦请贵单位协助转发与通知辖下各单位知悉

Sophos Firewall v21.5 GA (含)以前版本

根据官方网站释出解决方式进行修补：https://www.sophos.com/en-us/security-advisories/sophos-sa-20250721-sfos-rce