178K+ SonicWall-brannmurer sårbare for DoS, RCE-angrep

178K+ SonicWall-brannmurer sårbare for DoS, RCE-angrep

Tidsstempel: 16. januar 2024 11:43
178K+ SonicWall brannmurer sårbare for DoS, RCE angriper PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

To uautentiserte denial-of-service (DoS)-sårbarheter truer sikkerheten til Sonicwall neste generasjons brannmurenheter, og eksponerer mer enn 178,000 XNUMX av dem for begge DoS i tillegg til ekstern kjøring av kode (RCE) angrep.

Skjønt feilene — spores henholdsvis som CVE-2022-22274 og CVE-2023-0656 – ble oppdaget med ett års mellomrom, er de "i grunnen de samme", selv om de hver krever en annen HTTP URI-bane for å utnytte, skrev Jon Williams, senior sikkerhetsingeniør ved sikkerhetsfirmaet BishopFox, i et blogginnlegg publisert i går. Sonicwall produkter som er berørt er serie 6 og 7 brannmurer.

"CVE-2022-22274 og CVE-2023-0656 representerer den samme sårbarheten på forskjellige URI-baner, et problem som lett kan utnyttes til å krasje sårbare enheter," skrev han.

Høyt potensial for DoS-angrep på SonicWall-brannmurer

Faktisk er den potensielle virkningen av et utbredt angrep "alvorlig," bemerket han, ettersom angripere kan målrette en av eller begge feilene på sårbare brannmurer for å enten krasje enheten eller utføre RCE, deaktivere brannmurer og potensielt tillate tilgang til bedriftsnettverk mens de slår ut VPN adgang.

"I standardkonfigurasjonen starter SonicOS på nytt etter en krasj, men etter tre krasj i løpet av kort tid starter den opp i vedlikeholdsmodus og krever administrativ handling for å gjenopprette normal funksjonalitet," forklarte Williams.

BishopFox-forskere brukte BinaryEdge-kildedata for å skanne SonicWall-brannmurer med administrasjonsgrensesnitt eksponert for Internett og fant at av 233,984 178,637 enheter som ble oppdaget, er XNUMX XNUMX sårbare for ett eller begge problemer.

Selv om det så langt ikke er rapportert at noen av feilene har blitt utnyttet i naturen, er det utnyttelseskode tilgjengelig for den nylig oppdagede feilen, og BishopFox utviklet også sin egen utnyttelseskode for feilene.

Heldigvis for organisasjoner som bruker de berørte SonicWall-enhetene, beskytter den nyeste tilgjengelige fastvaren mot begge sårbarhetene, og en oppdatering kan redusere risikoen, sa Williams.

En fortelling om to uautentiserte feil

Av de to feilene ble CVE-2022-22274 - et uautentisert bufferoverløp som påvirker NGFW-nettadministrasjonsgrensesnitt oppdaget i mars 2022 - vurdert som farligere, og fikk en kritisk vurdering på 9.4 på CVSS kontra 7.5 vurdering av CVE-2023-0656 , som tilsynelatende er den samme typen feil og oppdaget omtrent et år senere.

En ekstern, uautentisert angriper kan utnytte feilen via en HTTP-forespørsel for å forårsake DoS eller potensielt kjøre kode i brannmuren, ifølge til en rapport av Watchtower Labs om sårbarheten publisert i oktober.

BishopFox brukte den rapporten som grunnlag for et dypere dykk inn i mekanikken for hvordan CVE-2022-22274 fungerer, og for å utvikle sin egen utnyttelseskode for den. I prosessen oppdaget de til slutt CVE-2023-0656 - som forskerne trodde kunne være en null dag, men som allerede var rapportert av SonicWall - samt fant ut at de to feilene er relatert.

Forskerne utløste CVE-2022-22274 gjennom en HTTP-forespørsel som trengte å tilfredsstille to betingelser: URI-banen må være lengre enn 1024 byte, og HTTP-versjonsstrengen må være lang nok til å forårsake en stack canary-overskriving.

De klarte å oppnå et DoS-angrep mot sårbare SonicWall serie 6 og 7 virtuelle enheter, til og med noen lappede versjoner. Det var dette som førte til at de innså at mens CVE-2022-22274 ble lappet på brannmurene, var det ikke CVE-2023-0656 - og begge feilene er forårsaket av det samme sårbare kodemønsteret på et annet sted, sa Williams.

"Så vidt vi vet, har ingen tidligere forskning blitt publisert som etablerer en kobling mellom CVE-2022-22274 og CVE-2023-0656," skrev han i innlegget. "Det er klart at begge sårbarhetene deler den samme underliggende feilen, men den første oppdateringen fikset bare den sårbare koden på ett sted, slik at de andre forekomstene ble funnet og rapportert et år senere."

BishopFox-forskere fant også at de kunne "pålitelig identifisere" sårbare enheter uten å slå dem offline ved å tilfredsstille den første av betingelsene for utnyttelsen deres, men ikke den andre, skrev Williams. Dette fremkaller forskjellige svar fra den målrettede enheten "fordi bufferoverløpskontrollen i lappede versjoner fører til at forbindelsen blir droppet uten svar," skrev han.

"Vi testet dette mot alle fem URI-banene og fant ut at sårbarhetskontrollen var pålitelig på tvers av et bredt utvalg av SonicOS-versjoner," sa Williams. BishopFox løslatt et Python-verktøy for å teste og til og med utnytte feilene på SonicWall-enheter.

Patch & Beskytt mot SonicWall cyberangrep

Hundretusenvis av selskaper over hele verden bruker SonicWall-produkter, inkludert en rekke offentlige etater og noen av de største foretakene i verden. Deres utbredte bruk gjør dem til en attraktiv angrepsoverflate når enheter blir sårbare; angripere har faktisk en historie med å kaste seg på SonicWall-feil forum ransomware og andre angrep.

På dette tidspunktet er ikke faren like stor i et potensielt RCE-angrep som en DoS-hendelse, gitt den tilgjengelige utnyttelsen fordi angripere ville ha noen tekniske hindringer å overvinne - inkludert PIE, ASLR og stackkanarifugler, bemerket Williams.

"Kanskje en større utfordring for en angriper er å bestemme på forhånd hvilke fastvare- og maskinvareversjoner et bestemt mål bruker, siden utnyttelsen må skreddersys til disse parameterne," la han til. "Siden ingen teknikk for øyeblikket er kjent for eksternt fingeravtrykk av SonicWall-brannmurer, er sannsynligheten for at angripere utnytter RCE, etter vår vurdering, fortsatt lav."

Uansett bør nettverksadministratorer fortsatt ta forholdsregler for å sikre enheter. BishopFox oppfordrer nettverksadministratorer til å bruke verktøyet forskerne utviklet for å se etter sårbare enheter. Hvis de blir funnet, bør de sørge for at administrasjonsgrensesnittet til en enhet ikke blir eksponert på nettet, samt fortsette med en oppdatering til den nyeste fastvaren for å sikre mot et potensielt DoS-angrep.

Tidstempel:

Mer fra Mørk lesning