178 XNUMX+ SonicWall-palomuurit, jotka ovat alttiita DoS- ja RCE-hyökkäyksille

Kaksi todentamatonta palvelunestohaavoittuvuutta (DoS) uhkaa turvallisuutta SonicWALL seuraavan sukupolven palomuurilaitteet, jotka paljastavat yli 178,000 XNUMX niistä molemmille DoS sekä koodin etäsuoritus (RCE) hyökkäyksiä.

Vaikka puutteet - jäljitetään vastaavasti CVE-2022-22274 ja CVE-2023-0656 - löydettiin vuoden välein, ne ovat "periaatteessa samoja", vaikka ne vaativatkin eri HTTP URI -polun hyödyntääkseen, kirjoitti Jon Williams, turvallisuusalan yritys BishopFoxin vanhempi turvallisuusinsinööri. blogi julkaistiin eilen. SonicWALL Tuotteet, joita tämä koskee, ovat sarjan 6 ja 7 palomuurit.

"CVE-2022-22274 ja CVE-2023-0656 edustavat samaa haavoittuvuutta eri URI-poluilla, ongelmaa, jota voidaan helposti hyödyntää haavoittuvien laitteiden kaatumiseen", hän kirjoitti.

Suuri potentiaali DoS-hyökkäyksille SonicWall-palomuuriin

Hän totesi todellakin, että laajalle levinneen hyökkäyksen potentiaaliset vaikutukset ovat "vakavat", koska hyökkääjät voivat kohdistaa jompaankumpaan tai molempiin haavoittuvien palomuurien bugeihin joko kaataakseen laitteen tai suorittaakseen RCE:n, mikä poistaa palomuurit käytöstä ja mahdollisesti päästää yritysverkkoihin samalla kun VPN kaatuu. pääsy.

"Oletuskokoonpanossaan SonicOS käynnistyy uudelleen kaatumisen jälkeen, mutta kolmen kaatumisen jälkeen lyhyen ajan sisällä se käynnistyy ylläpitotilaan ja vaatii hallinnollisia toimia normaalin toiminnan palauttamiseksi", Williams selitti.

BishopFox-tutkijat käyttivät BinaryEdge-lähdetietoja skannatakseen SonicWall-palomuureja, joissa on Internetin hallintaliitännät, ja havaitsivat, että 233,984 178,637 löydetystä laitteesta XNUMX XNUMX on alttiina jommallekummalle tai molemmille ongelmille.

Vaikka toistaiseksi ei ole raportoitu, että kumpaakaan puutetta olisi hyödynnetty luonnossa, äskettäin löydetylle bugille on saatavilla hyväksikäyttökoodi, ja myös BishopFox on kehittänyt oman hyväksikäyttökoodinsa puutteita varten.

Onneksi organisaatioille, jotka käyttävät kyseisiä SonicWall-laitteita, uusin saatavilla oleva laiteohjelmisto suojaa molemmilta haavoittuvuuksilta, ja päivitys voi vähentää riskejä, Williams sanoi.

Tarina kahdesta todentamattomasta viasta

Kahdesta bugista CVE-2022-22274 – todentamaton puskurin ylivuoto, joka vaikuttaa NGFW-verkkohallintaliittymiin, joka löydettiin maaliskuussa 2022 – arvioitiin vaarallisemmaksi, ja se ansaitsi CVSS:n kriittisen arvosanan 9.4 verrattuna CVE-7.5-2023:een 0656. , joka on näennäisesti samantyyppinen vika ja havaittiin noin vuotta myöhemmin.

Todentamaton etähyökkääjä voi käyttää virhettä HTTP-pyynnön kautta aiheuttaakseen DoS:n tai mahdollisesti suorittaa koodin palomuurissa. raporttiin Watchtower Labsin lokakuussa julkaistusta haavoittuvuudesta.

BishopFox käytti tätä raporttia perustana syvemmälle sukeltamiseen CVE-2022-22274:n toimintamekaniikkaan ja oman hyödyntämiskoodin kehittämiseen sille. Prosessissa he lopulta löysivät CVE-2023-0656 - jonka tutkijat luulivat olevan nollapäivä, mutta jonka SonicWall oli jo raportoinut - sekä havaitsivat, että nämä kaksi puutetta liittyvät toisiinsa.

Tutkijat käynnistivät CVE-2022-22274:n HTTP-pyynnön kautta, jonka täytyi täyttää kaksi ehtoa: URI-polun on oltava pidempi kuin 1024 tavua ja HTTP-version merkkijonon on oltava riittävän pitkä aiheuttamaan pinon Canary-korvauksen.

He onnistuivat saavuttamaan DoS-hyökkäyksen haavoittuvia SonicWall-sarjojen 6 ja 7 virtuaalisia laitteita, jopa joitain korjattuja versioita, vastaan. Tämä sai heidät ymmärtämään, että vaikka CVE-2022-22274 korjattiin palomuureilla, CVE-2023-0656 ei - ja molemmat puutteet johtuvat samasta haavoittuvasta koodikuviosta eri paikassa, Williams sanoi.

"Tietäksemme ei ole julkaistu aiempaa tutkimusta, joka olisi osoittanut yhteyttä CVE-2022-22274:n ja CVE-2023-0656:n välillä", hän kirjoitti viestissä. "On selvää, että molemmilla haavoittuvuuksilla on sama taustalla oleva vika, mutta ensimmäinen korjaustiedosto korjasi haavoittuvan koodin vain yhteen paikkaan, jolloin muut tapaukset löydettiin ja raportoitiin vuoden kuluttua."

BishopFox-tutkijat havaitsivat myös, että he pystyivät "luotettavasti tunnistamaan" haavoittuvat laitteet ilman, että ne katkaisevat niitä offline-tilaan, kun he täyttävät ensimmäisen hyväksikäytön ehdoista, mutta eivät toista, Williams kirjoitti. Tämä saa aikaan erilaisia ​​vastauksia kohdelaitteelta, "koska puskurin ylivuototarkistus korjausversioissa aiheuttaa yhteyden katkeamisen ilman vastausta", hän kirjoitti.

"Testasimme tämän kaikkia viittä URI-polkua vastaan ​​ja havaitsimme, että haavoittuvuustarkistus oli luotettava useissa SonicOS-versioissa", Williams sanoi. BishopFox julkaistiin Python-työkalu SonicWall-laitteiden virheiden testaamiseen ja jopa hyödyntämiseen.

Pakkaa ja suojaa SonicWall-verkkohyökkäyksiä vastaan

Sadat tuhannet yritykset ympäri maailmaa käyttävät SonicWall-tuotteita, mukaan lukien lukuisat valtion virastot ja eräät maailman suurimmista yrityksistä. Niiden laaja käyttö tekee niistä houkuttelevan hyökkäyspinnan, kun laitteista tulee haavoittuvia; itse asiassa hyökkääjillä on historiaa pommingeista SonicWall-vioista varten ransomware ja muut hyökkäykset.

Tässä vaiheessa vaara ei ole yhtä suuri mahdollisessa RCE-hyökkäyksessä kuin DoS-onnettomuudessa, kun otetaan huomioon käytettävissä oleva hyväksikäyttö, koska hyökkääjillä olisi joitain teknisiä esteitä voitettavana - mukaan lukien PIE, ASLR ja pinokanarialaiset, Williams huomautti.

"Ehkä isompi haaste hyökkääjälle on määrittää etukäteen, mitä laiteohjelmisto- ja laitteistoversioita tietty kohde käyttää, koska hyväksikäyttö on räätälöitävä näiden parametrien mukaan", hän lisäsi. "Koska SonicWall-palomuurien sormenjälkien etänäyttämiseen ei tällä hetkellä tunneta tekniikkaa, todennäköisyys, että hyökkääjät hyödyntävät RCE:tä, on arviomme mukaan edelleen pieni."

Siitä huolimatta verkonvalvojien tulee silti ryhtyä varotoimiin laitteiden suojaamiseksi. BishopFox kehottaa verkon ylläpitäjiä käyttämään tutkijoiden kehittämää työkalua haavoittuvien laitteiden tarkistamiseen. Jos niitä löydetään, heidän tulee varmistaa, että laitteen hallintaliittymää ei näytetä verkossa, ja edetä uusimman laiteohjelmiston päivityksellä suojautuakseen mahdolliselta DoS-hyökkäykseltä.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/vulnerabilities-threats/78k-sonicwall-firewalls-vulnerable-dos-rce-attacks