178 XNUMX+ SonicWalli tulemüürid, mis on haavatavad DoS, RCE rünnakute suhtes

Kaks autentimata teenusekeelu (DoS) turvaauku ohustavad sonicwall järgmise põlvkonna tulemüüriseadmed, paljastades mõlemale neist üle 178,000 XNUMX DoS sama hästi kui koodi kaugkäivitamine (RCE) rünnakud.

Kuigi vead - jälgitakse vastavalt CVE-2022-22274 ja CVE-2023-0656 — avastati aastase vahega, on need "põhimõtteliselt samad", kuigi nende kasutamine nõuab erinevat HTTP URI teed, kirjutas turvafirma BishopFox vanemturbeinsener Jon Williams. blogi postitus avaldati eile. sonicwall mõjutatud tooted on 6. ja 7. seeria tulemüürid.

"CVE-2022-22274 ja CVE-2023-0656 esindavad erinevatel URI-teedel sama haavatavust – probleemi, mida saab kergesti ära kasutada haavatavate seadmete kokkujooksmiseks," kirjutas ta.

Suur potentsiaal DoS-i rünnakuteks SonicWalli tulemüüridel

Tõepoolest, laialt levinud ründe potentsiaalne mõju on tõsine, märkis ta, kuna ründajad võivad sihikule võtta kas ühe või mõlemad haavatavate tulemüüride vead, et seade kokku kukkuda või RCE teha, keelates tulemüürid ja võimaldades potentsiaalselt siseneda ettevõtte võrkudesse, samal ajal katkestades VPN-i. juurdepääs.

"Vaikekonfiguratsioonis taaskäivitub SonicOS pärast krahhi, kuid pärast kolme krahhi lühikese aja jooksul käivitub see hooldusrežiimi ja nõuab tavapärase funktsionaalsuse taastamiseks haldustoiminguid," selgitas Williams.

BishopFoxi teadlased kasutasid BinaryEdge'i lähteandmeid SonicWalli tulemüüride skannimiseks Internetiga avatud haldusliidestega ja leidsid, et 233,984 178,637 avastatud seadmest on XNUMX XNUMX ühe või mõlema probleemi suhtes haavatavad.

Kuigi siiani pole teateid selle kohta, et kumbagi viga oleks looduses ära kasutatud, on hiljuti avastatud vea jaoks saadaval kasutuskood ja BishopFox töötas välja ka oma vigade koodi.

Mõjutatud SonicWalli seadmeid kasutavate organisatsioonide õnneks kaitseb uusim saadaolev püsivara mõlema haavatavuse eest ja värskendus võib riske maandada, ütles Williams.

Lugu kahest autentimata veast

Kahest veast hinnati ohtlikumaks CVE-2022-22274 – 2022. aasta märtsis avastatud autentimata puhvri ületäitumine, mis mõjutab NGFW veebihaldusliideseid –, mis teenis CVSS-is kriitilise hinnangu 9.4 ja CVE-7.5-2023 0656. , mis on näiliselt sama tüüpi viga ja avastati umbes aasta hiljem.

Kaug-autentimata ründaja võib viga ära kasutada HTTP-päringu kaudu, et põhjustada DoS-i või käivitada tulemüüris koodi. aruandele Watchtower Labsi poolt oktoobris avaldatud haavatavuse kohta.

BishopFox kasutas seda aruannet CVE-2022-22274 toimimise mehaanikasse sügavama sukeldumise ja selle jaoks oma kasutuskoodi väljatöötamise alusena. Selle käigus avastasid nad lõpuks CVE-2023-0656 – mis teadlaste arvates võib olla nullpäev, kuid millest SonicWall oli juba teatanud – ning avastasid, et need kaks viga on omavahel seotud.

Teadlased käivitasid CVE-2022-22274 HTTP-päringu kaudu, mis pidi vastama kahele tingimusele: URI tee peab olema pikem kui 1024 baiti ja HTTP versiooni string peab olema piisavalt pikk, et põhjustada virna kanaari ülekirjutamist.

Neil õnnestus saavutada DoS-rünnak haavatavate SonicWall seeria 6 ja 7 virtuaalseadmete, isegi mõne paigatud versiooni vastu. See pani nad mõistma, et kuigi CVE-2022-22274 oli tulemüüridel paigatud, siis CVE-2023-0656 mitte – ja mõlemad vead on põhjustatud samast haavatavast koodimustrist teises kohas, ütles Williams.

"Meile teadaolevalt ei ole avaldatud ühtegi varasemat uuringut, mis oleks loonud seose CVE-2022-22274 ja CVE-2023-0656 vahel," kirjutas ta postituses. "On selge, et mõlemal haavatavusel on sama alusviga, kuid esialgne plaaster parandas haavatava koodi ainult ühes kohas, jättes teised juhtumid leidmiseks ja aasta hiljem teatamiseks."

BishopFoxi teadlased leidsid ka, et nad suudavad haavatavad seadmed "usaldusväärselt tuvastada" ilma neid võrgust välja lülitamata, täites nende ekspluateerimise esimese, kuid mitte teise tingimuse, kirjutas Williams. See kutsub sihitud seadmelt esile erinevaid vastuseid, "kuna puhvri ületäitumise kontroll paigatud versioonides põhjustab ühenduse katkemise ilma vastuseta," kirjutas ta.

"Testisime seda kõigi viie URI tee suhtes ja leidsime, et haavatavuse kontroll oli paljude SonicOS-i versioonide puhul usaldusväärne," ütles Williams. BishopFox vabastati Pythoni tööriist SonicWalli seadmete vigade testimiseks ja isegi ärakasutamiseks.

Paigutage ja kaitske SonicWalli küberrünnakute eest

Sajad tuhanded ettevõtted üle maailma kasutavad SonicWalli tooteid, sealhulgas arvukad valitsusasutused ja mõned maailma suurimad ettevõtted. Nende laialdane kasutamine muudab need atraktiivseks rünnakupinnaks, kui seadmed muutuvad haavatavaks; tõepoolest, ründajatel on juba varem löödud SonicWalli vigade kohta eest ransomware ja muud rünnakud.

Praegu ei seisne oht mitte niivõrd potentsiaalses RCE-rünnakus kui DoS-i intsidendis, arvestades olemasolevat ärakasutamist, sest ründajatel on ületada mõned tehnilised takistused – sealhulgas PIE, ASLR ja virna kanaarilind, märkis Williams.

"Võib-olla on ründaja jaoks suurem väljakutse eelnevalt kindlaks teha, millist püsivara ja riistvara versiooni konkreetne sihtmärk kasutab, kuna ärakasutamine peab olema nende parameetritega kohandatud," lisas ta. "Kuna praegu pole SonicWalli tulemüüride sõrmejälgede kaugvõtmiseks ühtegi tehnikat teada, on tõenäosus, et ründajad kasutavad RCE-d, meie hinnangul siiski väike."

Sellest hoolimata peaksid võrguadministraatorid võtma seadmete kaitsmiseks ettevaatusabinõusid. BishopFox kutsub võrguadministraatoreid üles kasutama teadlaste välja töötatud tööriista haavatavate seadmete kontrollimiseks. Kui need leitakse, peaksid nad tagama, et seadme haldusliidest ei avaldata võrgus, ning jätkama uusima püsivara värskendamist, et kaitsta end võimaliku DoS-rünnaku eest.

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
• PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
• PlatoESG. Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
• PlatoTervis. Biotehnoloogia ja kliiniliste uuringute luureandmed. Juurdepääs siia.
• Allikas: https://www.darkreading.com/vulnerabilities-threats/78k-sonicwall-firewalls-vulnerable-dos-rce-attacks