Ponad 178 tys. zapór sieciowych SonicWall podatnych na ataki DoS i RCE

Dwie nieuwierzytelnione luki typu „odmowa usługi” (DoS) zagrażają bezpieczeństwu SonicWall urządzeń firewall nowej generacji, udostępniając ponad 178,000 XNUMX z nich obu DoS jak również zdalne wykonanie kodu (RCE) ataki.

Chociaż wady — śledzone odpowiednio jako CVE-2022-22274 i CVE-2023-0656 — zostały odkryte w odstępie roku, są „zasadniczo takie same”, chociaż każdy z nich wymaga innej ścieżki HTTP URI do wykorzystania, napisał Jon Williams, starszy inżynier bezpieczeństwa w firmie BishopFox zajmującej się bezpieczeństwem blogu opublikowany wczoraj. SonicWall produkty, których to dotyczy, to zapory sieciowe serii 6 i 7.

„CVE-2022-22274 i CVE-2023-0656 reprezentują tę samą lukę w zabezpieczeniach na różnych ścieżkach URI, a jest to problem, który można łatwo wykorzystać do awarii urządzeń podatnych na awarie” – napisał.

Wysoki potencjał ataków DoS na zapory sieciowe SonicWall

Rzeczywiście, potencjalny wpływ powszechnego ataku jest „poważny” – zauważył, ponieważ napastnicy mogą obrać za cel jeden lub oba błędy w podatnych na ataki zaporach sieciowych, aby albo spowodować awarię urządzenia, albo wykonanie RCE, wyłączenie zapór ogniowych i potencjalnie umożliwienie dostępu do sieci korporacyjnych przy jednoczesnym wyłączeniu VPN dostęp.

„W domyślnej konfiguracji SonicOS uruchamia się ponownie po awarii, ale po trzech awariach w krótkim czasie uruchamia się w trybie konserwacji i wymaga działań administracyjnych, aby przywrócić normalną funkcjonalność” – wyjaśnił Williams.

Badacze z BishopFox wykorzystali dane źródłowe BinaryEdge do przeskanowania zapór sieciowych SonicWall z interfejsami zarządzania udostępnionymi do Internetu i odkryli, że spośród 233,984 178,637 wykrytych urządzeń XNUMX XNUMX jest podatnych na jeden lub oba problemy.

Chociaż jak dotąd nie ma raportów jakoby którakolwiek z tych luk została wykorzystana w środowisku naturalnym, dostępny jest kod exploita dla niedawno odkrytego błędu, a BishopFox również opracował własny kod exploita dla tych usterek.

Na szczęście dla organizacji korzystających z urządzeń SonicWall, których dotyczy problem, najnowsze dostępne oprogramowanie sprzętowe chroni przed obiema lukami, a aktualizacja może zmniejszyć ryzyko, powiedział Williams.

Opowieść o dwóch nieuwierzytelnionych wadach

Spośród dwóch błędów CVE-2022-22274 — nieuwierzytelnione przepełnienie bufora wpływające na interfejsy zarządzania siecią NGFW odkryte w marcu 2022 r. — został oceniony jako bardziej niebezpieczny, uzyskując ocenę krytyczną 9.4 w CVSS w porównaniu z oceną 7.5 w CVE-2023-0656 , co jest rzekomo tym samym rodzajem wady i zostało odkryte około rok później.

Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę za pośrednictwem żądania HTTP, aby wywołać DoS lub potencjalnie wykonać kod w zaporze ogniowej – twierdzi. do raportu przez Watchtower Labs na temat luki opublikowanej w październiku.

BishopFox wykorzystał ten raport jako podstawę do głębszego poznania mechaniki działania CVE-2022-22274 i opracowania dla niego własnego kodu exploita. W trakcie tego procesu ostatecznie odkryli CVE-2023-0656 — który według badaczy mógł być dniem zerowym, ale który został już zgłoszony przez SonicWall — a także odkryli, że te dwie wady są ze sobą powiązane.

Badacze uruchomili CVE-2022-22274 poprzez żądanie HTTP, które musiało spełnić dwa warunki: ścieżka URI musi być dłuższa niż 1024 bajty, a ciąg znaków wersji HTTP musi być wystarczająco długi, aby spowodować nadpisanie stosu.

Udało im się przeprowadzić atak DoS na podatne na ataki urządzenia wirtualne SonicWall serii 6 i 7, nawet w przypadku niektórych poprawionych wersji. To właśnie uświadomiło im, że chociaż CVE-2022-22274 został załatany na zaporach ogniowych, CVE-2023-0656 już nie – a obie wady są spowodowane tym samym wzorcem podatnego kodu w innym miejscu, powiedział Williams.

„Według naszej wiedzy nie opublikowano żadnych wcześniejszych badań ustalających powiązanie między CVE-2022-22274 i CVE-2023-0656” – napisał w poście. „Bez wątpienia obie luki mają ten sam błąd, ale początkowa łatka naprawiła lukę w kodzie tylko w jednym miejscu, pozostawiając pozostałe przypadki do znalezienia i zgłoszenia rok później”.

Badacze z BishopFox odkryli również, że mogliby „niezawodnie identyfikować” podatne na ataki urządzenia bez wyłączania ich w trybie offline, spełniając pierwszy z warunków wykorzystania luki, ale nie drugi – napisał Williams. Wywołuje to różne reakcje docelowego urządzenia, „ponieważ kontrola przepełnienia bufora w wersjach z poprawkami powoduje zerwanie połączenia bez odpowiedzi” – napisał.

„Przetestowaliśmy to na wszystkich pięciu ścieżkach URI i stwierdziliśmy, że sprawdzenie podatności na wiele różnych wersji SonicOS przebiegło niezawodnie” – powiedział Williams. BiskupFox zwolniony narzędzie Pythona do testowania, a nawet wykorzystywania wad urządzeń SonicWall.

Łatanie i ochrona przed cyberatakami SonicWall

Z produktów SonicWall korzystają setki tysięcy firm na całym świecie, w tym liczne agencje rządowe i jedne z największych przedsiębiorstw na świecie. Ich powszechne zastosowanie czyni je atrakcyjną powierzchnią ataku, gdy urządzenia stają się podatne na ataki; w istocie napastnicy mają w przeszłości ataki na wadach SonicWall dla ransomware i inne ataki.

W tym momencie zagrożenie nie polega tak bardzo na potencjalnym ataku RCE, jak na incydencie DoS, biorąc pod uwagę dostępny exploit, ponieważ napastnicy będą mieli do pokonania kilka przeszkód technicznych — w tym PIE, ASLR i kanarki stosowe, zauważył Williams.

„Być może większym wyzwaniem dla atakującego jest określenie z wyprzedzeniem, jakiej wersji oprogramowania i sprzętu używa dany cel, ponieważ exploit musi być dostosowany do tych parametrów” – dodał. „Ponieważ obecnie nie jest znana żadna technika zdalnego pobierania odcisków palców zapór sieciowych SonicWall, prawdopodobieństwo, że atakujący wykorzystają RCE, jest według naszych szacunków nadal niskie”.

Niezależnie od tego administratorzy sieci nadal powinni podejmować środki ostrożności w celu zabezpieczenia urządzeń. BishopFox nalega, aby administratorzy sieci korzystali z opracowanego przez badaczy narzędzia do sprawdzania, czy urządzenia nie są podatne na ataki. Jeśli zostaną znalezione, powinni upewnić się, że interfejs zarządzania urządzeniem nie jest ujawniony w Internecie, a także przeprowadzić aktualizację oprogramowania sprzętowego do najnowszego, aby zabezpieczyć się przed potencjalnym atakiem DoS.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/vulnerabilities-threats/78k-sonicwall-firewalls-vulnerable-dos-rce-attacks