178 ezer+ SonicWall tűzfal, amely sebezhető a DoS, RCE támadásokkal szemben

178 ezer+ SonicWall tűzfal, amely sebezhető a DoS, RCE támadásokkal szemben

Időbélyeg: 16. január 2024. 11:43
178 XNUMX+ SonicWall tűzfal, amely sebezhető a DoS ellen, az RCE megtámadja a PlatoBlockchain adatintelligenciát. Függőleges keresés. Ai.

Két hitelesítetlen szolgáltatásmegtagadási (DoS) sérülékenység veszélyezteti a sonicwall következő generációs tűzfaleszközök, amelyek közül több mint 178,000 XNUMX-et tesznek ki mindkettőnek DoS szintén távoli kódvégrehajtás (RCE) támadásokat.

Bár a hibákat - nyomon követni ill CVE-2022 22274- és a CVE-2023 0656- – egy év különbséggel fedezték fel, „alapvetően ugyanazok”, bár mindegyikük más-más HTTP URI-útvonalat igényel a kihasználáshoz – írta Jon Williams, a BishopFox biztonsági cég vezető biztonsági mérnöke. egy blogbejegyzés tegnap megjelent. sonicwall az érintett termékek a 6-os és 7-es sorozatú tűzfalak.

"A CVE-2022-22274 és a CVE-2023-0656 ugyanazt a sérülékenységet jelenti a különböző URI-útvonalakon, amely probléma könnyen kihasználható a sebezhető eszközök összeomlására" - írta.

Nagy a potenciális DoS támadás a SonicWall tűzfalakon

Valójában egy széles körben elterjedt támadás potenciális hatása „súlyos” – jegyezte meg, mivel a támadók a sebezhető tűzfalak egyik vagy mindkét hibáját megcélozhatják, hogy összeomolják az eszközt, vagy RCE-t hajtsanak végre, letiltva a tűzfalakat, és potenciálisan lehetővé teszik a vállalati hálózatokba való belépést, miközben kiiktatják a VPN-t. hozzáférés.

„Alapértelmezett konfigurációjában a SonicOS újraindul egy összeomlás után, de rövid időn belül három összeomlás után karbantartási módba indul, és adminisztratív beavatkozást igényel a normál működés visszaállításához” – magyarázta Williams.

A BishopFox kutatói a BinaryEdge forrásadatokat használták az internetre kitett kezelőfelületekkel rendelkező SonicWall tűzfalak átvizsgálására, és azt találták, hogy a 233,984 178,637 felfedezett eszközből XNUMX XNUMX sebezhető az egyik vagy mindkét probléma miatt.

Bár egyelőre nem érkezett jelentés arról, hogy bármelyik hibát kihasználták volna a vadonban, a nemrég felfedezett hibához létezik kihasználó kód, és a BishopFox is kifejlesztette saját kihasználó kódját a hibákra.

Az érintett SonicWall eszközöket használó szervezetek szerencséjére a legújabb elérhető firmware mindkét sérülékenység ellen védelmet nyújt, a frissítés pedig csökkentheti a kockázatot – mondta Williams.

Mese két hitelesítetlen hibáról

A két hiba közül a CVE-2022-22274 – a 2022 márciusában felfedezett, nem hitelesített puffertúlcsordulás, amely az NGFW webkezelő felületeit érinti – veszélyesebbnek minősült, és a CVSS-en 9.4-es kritikus besorolást kapott, szemben a CVE-7.5-2023 0656-ös besorolásával. , amely látszólag ugyanilyen típusú hiba, és körülbelül egy évvel később fedezték fel.

Egy távoli, nem hitelesített támadó a hibát HTTP-kéréssel kihasználva DoS-t okozhat, vagy esetleg kódot futtathat a tűzfalban. jelentésre a Watchtower Labs által az októberben közzétett sebezhetőségről.

A BishopFox ezt a jelentést használta a CVE-2022-22274 működésének mechanikájába való mélyebb belemerülés alapjául, és saját kihasználó kód kifejlesztéséhez. A folyamat során végül felfedezték a CVE-2023-0656-ot – amelyről a kutatók azt hitték, hogy egy nulladik nap, de amelyről a SonicWall már beszámolt –, valamint megállapították, hogy a két hiba összefügg.

A kutatók egy HTTP-kéréssel indították el a CVE-2022-22274-et, amelynek két feltételnek kellett megfelelnie: az URI elérési útnak 1024 bájtnál hosszabbnak kell lennie, a HTTP verzió karakterláncának pedig elég hosszúnak kell lennie ahhoz, hogy a verem kanári felülírását okozza.

Sikerült DoS támadást elérniük a sérülékeny SonicWall 6. és 7. sorozatú virtuális készülékek ellen, még néhány javított verzió is. Ez vezette őket arra a felismerésre, hogy míg a CVE-2022-22274 javítva volt a tűzfalakon, a CVE-2023-0656 nem – és mindkét hibát ugyanaz a sérülékeny kódminta okozza egy másik helyen, mondta Williams.

"Tudomásunk szerint nem publikáltak olyan korábbi kutatást, amely kapcsolatot létesített volna a CVE-2022-22274 és a CVE-2023-0656 között" - írta a bejegyzésben. "Egyértelmű, hogy mindkét sérülékenység ugyanazt a mögöttes hibát tartalmaz, de a kezdeti javítás csak egy helyen javította ki a sebezhető kódot, így a többi példányt egy évvel később meg kell találni és jelenteni."

A BishopFox kutatói azt is megállapították, hogy „megbízhatóan azonosíthatják” a sebezhető eszközöket anélkül, hogy offline állapotba kerülnének, ha teljesítik az első feltételt, de a másodikat nem – írta Williams. Ez különböző válaszokat vált ki a megcélzott eszköztől, „mivel a puffertúlcsordulás-ellenőrzés a javított verziókban a kapcsolat válasz nélkül megszakad” – írta.

„Mind az öt URI-útvonalon teszteltük, és azt találtuk, hogy a sebezhetőség-ellenőrzés a SonicOS-verziók széles skáláján megbízható volt” – mondta Williams. BishopFox szabadult egy Python eszköz a SonicWall eszközök hibáinak tesztelésére, sőt kihasználására.

Folt és véd a SonicWall kibertámadásai ellen

Világszerte több százezer vállalat használja a SonicWall termékeket, köztük számos kormányzati ügynökség és a világ néhány legnagyobb vállalata. Széleskörű használatuk vonzó támadási felületté teszi őket, amikor az eszközök sebezhetővé válnak; Valójában a támadóknak van története ütésekre a SonicWall hibáira mert ransomware és egyéb támadások.

Ezen a ponton a veszély nem annyira egy lehetséges RCE támadásban rejlik, mint egy DoS incidensben, tekintettel a rendelkezésre álló kihasználásra, mivel a támadóknak néhány technikai akadályt le kell küzdeniük – beleértve a PIE-t, az ASLR-t és a stack kanárit – jegyezte meg Williams.

"Talán nagyobb kihívást jelent a támadó számára, ha előre meghatározza, hogy egy adott cél milyen firmware- és hardververziót használ, mivel az exploitot ezekhez a paraméterekhez kell szabni" - tette hozzá. "Mivel jelenleg nem ismert a SonicWall tűzfalak ujjlenyomatának távoli vételére szolgáló technika, becslésünk szerint még mindig alacsony a valószínűsége annak, hogy a támadók kihasználják az RCE-t."

Ettől függetlenül a hálózati rendszergazdáknak továbbra is óvintézkedéseket kell tenniük az eszközök biztonsága érdekében. A BishopFox arra kéri a hálózati rendszergazdákat, hogy használják a kutatók által kifejlesztett eszközt a sebezhető eszközök ellenőrzésére. Ha megtalálják, gondoskodniuk kell arról, hogy az eszköz felügyeleti felülete ne legyen elérhető online, valamint frissítenie kell a legújabb firmware-t, hogy megvédje magát az esetleges DoS támadásoktól.

Időbélyeg:

Még több Sötét olvasmány