.
Atualizada Mais de 178.000 firewalls SonicWall ainda estão vulneráveis a vulnerabilidades antigas, afirma um pesquisador de segurança da informação.
Um estudo realizado por Jon Williams, engenheiro de segurança sênior da Bishop Fox, destaca esta semana o que ele chama de apatia dos clientes da SonicWall com patches de nível de armas, com o número de dispositivos exploráveis representando 76 por cento daqueles que são voltados ao público.
Com foco especificamente em CVE-2022-22274 e CVE-2023-0656, Williams disse que 178.637 dos 233.984 dispositivos de firewall de próxima geração (NGFW) série 6 e 7 da SonicWall voltados para o público são vulneráveis a uma ou ambas essas falhas.
Ambas as vulnerabilidades levam à negação de serviço (DoS), mas a primeira é facilmente a mais séria, pois também pode levar à execução remota de código (RCE), ganhando uma pontuação de gravidade quase máxima de 9,8 por sua explorabilidade e impacto potencial.
“Nossa pesquisa descobriu que os dois problemas são fundamentalmente os mesmos, mas podem ser explorados em diferentes caminhos HTTP URI devido à reutilização de um padrão de código vulnerável”, disse Williams.
SSD Labs afirmou anteriormente que, em ambos os casos, os cibercriminosos são “encarregados de explorar uma vulnerabilidade de estouro de pilha para causar DoS – realizado remotamente através do envio de uma solicitação HTTP maliciosa.
“A falha específica existe dentro do httpServer função”, acrescentou. “O problema decorre da falta de verificação do resultado do retorno do snprintf antes de usá-lo para calcular o comprimento máximo. Um invasor pode aproveitar esta vulnerabilidade para impactar a disponibilidade do servidor de destino.”
Com referência ao RCE, o comunicado da SonicWall de 2022 afirma: “Uma vulnerabilidade de buffer overflow baseada em pilha no SonicOS via solicitação HTTP permite que um invasor remoto não autenticado cause negação de serviço ou potencialmente resulte na execução de código no firewall.”
Mesmo que os invasores não conseguissem obter o RCE, eles poderiam forçar um dispositivo alvo a entrar no modo de manutenção, exigindo a intervenção de um administrador e deixando para trás a interrupção organizacional, disse Williams.
“O impacto de um ataque generalizado pode ser grave”, acrescentou. “Em sua configuração padrão, o SonicOS reinicia após uma falha, mas após três falhas em um curto período de tempo ele inicializa no modo de manutenção e requer ação administrativa para restaurar a funcionalidade normal.”
Os administradores são incentivados a atualizar imediatamente para as versões mais recentes do firmware NGFW, que incluem patches funcionais que estão disponíveis há muito tempo.
Felizmente para os clientes da SonicWall, não há evidências que sugiram que qualquer uma das vulnerabilidades esteja sob exploração ativa, embora uma exploração de prova de conceito que funcione contra ambas tenha sido desenvolvida pela SSD Labs e esteja disponível on-line, contrariando o aviso da SonicWall.
Isso não quer dizer que eles nunca serão alvos, especialmente agora que a atenção foi mais uma vez atraída para as vulnerabilidades e a superfície de ataque.
Ciberespiões chineses foram vistos visando equipamentos SonicWall não corrigidos há menos de um ano, e Charles Carmakal, CTO da Mandiant, disse na época que vulnerabilidades em firewalls estão normalmente entre as mais visadas.
Quanto ao motivo pelo qual nem CVE-2022-22274 nem CVE-2023-0656 foram explorados livremente até agora, disse Sean Wright, chefe de segurança de aplicativos da Featurespace. Strong The One que ele suspeitava que provavelmente se devia a uma combinação de fatores.
CVE-2023-0656 só leva a um DoS, que é difícil para um cibercriminoso monetizar, e ele adivinhou que alcançar RCE com CVE-2022-22274 provavelmente seria muito difícil em comparação com outras vulnerabilidades de RCE lucrativas e fáceis de explorar em disputa.
“A outra questão sobre por que tantas instâncias voltadas para a Internet e não corrigidas infelizmente não é surpreendente”, acrescentou. “Nós, infelizmente, vemos isso com muita frequência, e dado o fato de que essas duas vulnerabilidades não são conhecidas por terem sido exploradas publicamente, isso significa que elas provavelmente receberão menos atenção do que outras vulnerabilidades de alto perfil que estão sendo exploradas ativamente. No entanto, ainda é importante que as organizações garantam a aplicação dos patches, especialmente devido ao potencial de execução remota.
“O outro problema que muitas organizações também enfrentam é um problema de recursos quando se trata de patches, há um dilúvio constante de vulnerabilidades que precisam ser triadas e depois tratadas de acordo. Esta é uma tarefa constante, que não é fácil. No entanto, estes As vulnerabilidades já existem há algum tempo, então deveriam ter sido corrigidas agora. Isso mostra o quanto a indústria enfrenta uma tarefa, e precisamos começar a ser muito mais criativos ao ter ideias sobre como resolver esse problema. “
Strong The One abordou a SonicWall para comentar, mas ela não respondeu. ®
Atualizado às 10h26 UTC de 17 de janeiro para adicionar
Após as publicações, a SonicWall nos enviou um comunicado:
“A SonicWall entrou em contato proativamente com parceiros e clientes diversas vezes durante o ano passado para garantir a adoção máxima dos patches relevantes. Ao mesmo tempo, a SonicWall continua incentivando parceiros e clientes a atualizarem seu firmware para resolver quaisquer vulnerabilidades, aproveitando atualizações atualizadas. firmware atualizado. A SonicWall incluiu um recurso de atualização automática de firmware no SonicOS 7.1.1 para vulnerabilidades críticas no futuro.
“Depois de analisar os registros dos casos, a SonicWall não viu nenhuma exploração ativa do firmware afetado em estado selvagem, e é provável que os métodos usados para coletar as populações afetadas também tenham capturado unidades em nossa população global de sensores SonicLabs – algo com o qual estamos sempre dispostos a trabalhar. pesquisadores de ameaças devem verificar antes da publicação de artigos que abordam vulnerabilidades mais antigas e corrigidas anteriormente.”
.
