Sophos UTM Update v9.6 uitgebracht

Sophos heeft UTM-versie 9.600 uitgebracht. Hieronder een overzicht van de belangrijkste wijzigingen in versie 9.6:

Let’s Encrypt-integratie

De integratie van Let’s Encrypt in UTM stond bij veel klanten al lange tijd hoog op de wensenlijst. Met versie 9.6 komt daar eindelijk verandering in. Certificaten kunnen via de WAF worden aangemaakt en automatisch worden vernieuwd.

Tip: als je een DNAT-regel voor HTTP hebt geconfigureerd, moet je deze op de interface waarop Let’s Encrypt actief is uitschakelen. Ook Country Blocking kan hier roet in het eten gooien – maak in dat geval een passende uitzondering.

ATP: nieuwe Advanced Threat Protection-bibliotheek

Advanced Threat Protection maakt voortaan gebruik van een nieuwe bibliotheek, wat zowel de bescherming als de prestaties ten goede komt.

RED: nieuwe RED-firmware

De RED 15 en RED 50 krijgen een nieuwe firmware die actuele drivers voor 3G/4G-usb-sticks bevat. Dit moet de ondersteuning voor dergelijke sticks verbeteren.

Sandstorm: handmatige bestandsupload en rapporten

Beheerders kunnen voortaan bestanden handmatig naar Sophos Sandstorm uploaden om ze daar uit te voeren. Daardoor kunnen nu ook bestanden die niet per e-mail of webdownload zijn ontvangen, met Sophos Sandstorm worden geanalyseerd. Daarnaast is de rapportage in Sandstorm verbeterd en worden er nu meer gedetailleerde gegevens over een gekozen periode weergegeven.

SMTP-proxy: verbeteringen

De SMTP-proxy ondersteunt nu de „Submission Port” en biedt een configureerbaar „listen address”.

WAF: eigen foutpagina’s

Alle foutpagina’s die door de WAF worden geleverd, kunnen voortaan naar wens worden aangepast. Zo kun je op alle pagina’s je eigen corporate identity tonen.

Teleurstellend nieuws rond IKEv2

Ondersteuning voor IKEv2 is al vaak door de community gevraagd. Volgens Sophos is het echter niet meer gelukt om IKEv2 nog in UTM 9.6 te integreren. Eerlijk gezegd: reken er niet meer op dat IKEv2 nog naar UTM komt. Wie naar de roadmap van XG kijkt, ziet dat deze bomvol staat en dat daar duidelijk de prioriteit ligt. De UTM-roadmap daarentegen oogt vrijwel leeg.

Als je IKEv2 absoluut nodig hebt, raden we je aan om zo snel mogelijk over te stappen op het nieuwe besturingssysteem SFOS. Wie een SG-appliance heeft, hoeft geen extra hardware aan te schaffen en de resterende licentietijd wordt overgenomen. Heb je hulp nodig bij de migratie, dan staan we graag voor je klaar. Op het moment van schrijven (23-11-2018) hebben we al anderhalf jaar geen nieuwe UTM meer geïnstalleerd – alleen nog XG’s – en doen we een beroep op onze UTM-kennis vrijwel uitsluitend bij migraties naar SFOS.

Opmerking: tijdens de update wordt het UTM-systeem opnieuw opgestart en wordt de configuratie bijgewerkt. Houd er rekening mee dat ook aangesloten RED’s en access points een firmware-update ontvangen.

Belangrijk: na de update naar UTM 9.6 werkt het oude HTML-template voor de inhoudswaarschuwingspagina in de HTTP-proxy niet meer correct. Download de nieuwe templates, pas ze aan jouw behoeften aan en upload ze vervolgens opnieuw naar de UTM. Meer informatie vind je in: KBA133167 - Sophos UTM: Changes to customized web templates in 9.6.

Bugfixes

NUTM-10128 [Access & Identity] MDW waits hours for lock on shared cache with AUA
NUTM-10130 [Access & Identity] Unable to connect RDP type bookmark with NLA
NUTM-7418 [Access & Identity] SAA - Rename Client Auth CA
NUTM-9368 [Access & Identity] SSL VPN: optional user auth not working
NUTM-9525 [Access & Identity] Disk filling up with argos error messages in endpoint.log
NUTM-9843 [Access & Identity] HTML5 VPN portal connections periodically stop working until service is restarted
NUTM-10080 [Basesystem] Update to latest Avira SAVAPI version
NUTM-10366 [Basesystem] Missing IP address in IPset of user network for STAS
NUTM-9783 [Basesystem] IPsec routing issue if gateway interface has additional addresses
NUTM-9810 [Basesystem] IPset Object takes 30 seconds to update after SSL VPN connection was established
NUTM-9860 [Basesystem] Selfmon trying to start DHCP even when not in use
NUTM-10226 [Email] Can’t release POP3 messages due to URL in User Portal
NUTM-9681 [Email] cssd coredumps and root partition is filling up
NUTM-9716 [Email] S/MIME encryption - automatic certificate extraction causing high load / no webadmin access
NUTM-9733 [Email] Change default encryption algorithm to ‘smime’
NUTM-9853 [Email] Fix policy traversal (for gpg, smime, unscanable)
NUTM-9882 [Email] Umlauts in mail addresses get corrupted if SPX encryption is used
NUTM-10181 [Network] Remove DNSdynamic from available dynamic DNS providers
NUTM-10307 [Network] ATP exception still working after deletion
NUTM-10337 [Network] High CPU load by AFCd when hotspot is enabled
NUTM-10414 [Network] Segfault in oculusd
NUTM-2791 [Network] Fix detection of sub applications in Application Control
NUTM-4767 [Network] SSH for single host skipping AFC check
NUTM-9462 [Network] Update to BIND 9.11 ESV
NUTM-10197 [RED] All REDs disconnect intermittently
NUTM-10227 [RED] Offline provisioning does not work
NUTM-10303 [RED] Unified FW: split networks does not work
NUTM-10384 [RED] Update hostapd for Unified-FW
NUTM-9026 [RED] TP-LINK MA260 dongle on RED doesn’t work anymore after update to v9.5
NUTM-9795 [RED] RED50 issue with large packets in Transparent/Split mode
NUTM-10060 [Reporting] ATP alerts / events not deleted after three days
NUTM-10201 [Reporting] Unable to download S/MIME internal user certificate
NUTM-10352 [Sandstorm] Sandstorm Activity Report table and graph do not show same data
NUTM-10367 [Sandstorm] Sandstorm Activity Graph does not include email cached results
NUTM-2644 [UI Framework] Webadmin prefetching list box not displaying any users, if one user contains a single tick
NUTM-10066 [WAF] Existing certificate chain overrides after new certificate chain has been added
NUTM-10185 [WAF] Using printenv SSI directive in custom theme causes segfault
NUTM-10315 [WAF] Let’s Encrypt can’t be enabled after upgrade from 9.5 (/etc/ssl/certs not accessible)
NUTM-10316 [WAF] Let’s Encrypt certificates allow wildcards in domain name list
NUTM-10332 [WAF] Let’s Encrypt not working over IPv6
NUTM-9809 [WAF] Potential memory allocation failure for “Rewrite HTML” + location with special characters
NUTM-10188 [WebAdmin] [OTP] QR code not visible for the first user login
NUTM-10214 [WebAdmin] Breach Vulnerability in WebAdmin (CVE-2013-3587)
NUTM-6945 [WebAdmin] Popup too small for secret when deleting SHA512 OTP token
NUTM-7381 [WebAdmin] Login to UserPortal only works at second try when using RADIUS authentication
NUTM-9424 [WebAdmin] Webadmin session interrupted with pop-up “Backend connection failed”
NUTM-10200 [Web] Segfault in libc-2.11.3.so
NUTM-10284 [Web] HTTP Proxy crash with coredumps
NUTM-9676 [Web] HTTP Proxy out-of-memory segfault / HTTP Proxy stops working with “Avira engine not available”
NUTM-9854 [Web] Warning page bypass using crafted URLs
NUTM-9873 [Web] File blocked due to MIME type detection even if there is an exception
NUTM-9956 [Web] HTTP Proxy coredumps in geoip scanner
NUTM-10365 [Wireless] RED15w: SSID isn’t broadcasted when “Enterprise Authentication” is in use *** End of File