Exploatarea vulnerabilității SonicWall firewall permite hackerilor să preia sesiuni VPN, actualizare imediată

Cercetătorii în securitate de la Bishop Fox au publicat detalii complete de exploatare pentru vulnerabilitatea CVE-2024-53704, care permite ocolirea mecanismului de autentificare în anumite versiuni ale aplicației SonicOS SSLVPN.

Producătorul a avertizat despre posibilitatea ridicată de exploatare a defectului printr-un buletin emis pe 7 ianuarie, îndemnând administratorii să-și actualizeze firmware-ul firewall-urilor SonicOS pentru a remedia problema.

Vulnerabilitatea permite unui atacator de la distanță să preia sesiuni active SSL VPN fără autentificare, acordându-le acces neautorizat la rețeaua victimei.

Exploatarea funcționează prin trimiterea unui cookie de sesiune special conceput conținând un șir codificat în base64 de octeți null către punctul final de autentificare SSL VPN la ‘/cgi-bin/sslvpnclient’.

Aceasta declanșează o validare incorectă a sesiunii, deoarece mecanismul presupune că cererea este asociată cu o sesiune VPN activă.

Aceasta deconectează victima și oferă atacatorului acces la sesiune, permițându-le să citească semnele de carte din Biroul Virtual al utilizatorului, să obțină setările de configurație ale clientului VPN, să deschidă un tunel VPN către rețeaua internă și să ofere acces la resursele rețelei private.

Problema afectează versiunile SonicOS 7.1.x (până la 7.1.1-7058), 7.1.2-7019 și 8.0.0-8035. Aceste versiuni rulează pe mai multe modele de firewall-uri Gen 6 și Gen 7, precum și pe dispozitivele seriei SOHO.

Reparările au fost făcute disponibile în SonicOS 8.0.0-8037 și ulterior, 7.0.1-5165 și mai recent, 7.1.3-7015 și mai recent, și 6.5.5.1-6n și mai recent. Pentru informații specifice modelului, consultați buletinul SonicWall aici.

Bishop Fox spune că scanările de internet de la 7 februarie arată aproximativ 4.500 de servere SonicWall SSL VPN expuse pe internet fără actualizările de securitate care repară CVE-2024-53705.

Cu o exploatare a unei demonstrații de concept funcționale acum disponibilă public, administratorii ar trebui să aplice actualizările cât mai curând posibil, deoarece riscul de exploatare pentru CVE-2024-53705 a crescut semnificativ.