SonicWall закрыл критическую уязвимость SSRF с оценкой CVSS 10.0 в SMA1000
SonicWall выпустил срочные hotfix-обновления для четырёх уязвимостей в своих шлюзах SMA1000, обеспечивающих удалённый доступ сотрудников к корпоративной сети и приложениям. Самая опасная из них — pre-authentication SSRF-флау с максимальной оценкой CVSS 10.0 — позволяла злоумышленнику без авторизации отправлять через устройство запросы и достигать внутренних сервисов. Компания утверждает, что следов активной эксплуатации не зафиксировано. Проблема касается организаций, использующих SMA1000 для организации удалённого доступа.
Подробности
Самая критичная уязвимость относится к классу SSRF (Server-Side Request Forgery) и срабатывает до прохождения аутентификации. Это значит, что атакующему не требуется учётная запись или действительный токен — достаточно сетевого доступа к уязвимому устройству. Эксплуатация позволяет отправлять запросы от имени самого шлюза, что открывает путь к внутренним функциям и сервисам, недоступным извне. Именно сочетание «без логина» и «доступ к внутреннему периметру» объясняет столь высокую оценку CVSS 10.0. Помимо SSRF-флау, SonicWall устранил ещё три уязвимости в SMA1000. Их детали в исходном сообщении не раскрываются, однако сам факт выпуска внеплановых hotfix-обновлений для всех четырёх проблем указывает на то, что вендор отнёсся к ним как к приоритетным. SonicWall заявляет, что на данный момент нет свидетельств эксплуатации ни одной из четырёх уязвимостей в реальных атаках. Тем не менее устройства класса SMA — это популярная цель для злоумышленников: шлюзы удалённого доступа находятся на периметре сети и зачастую доступны из интернета, а значит, представляют собой удобную точку входа для начального проникновения.Что делать
Организациям, использующим SonicWall SMA1000, рекомендуется: — незамедлительно установить выпущенные hotfix-обновления на все устройства SMA1000; — проверить, доступны ли интерфейсы управления и шлюзы SMA из публичной сети, и по возможности ограничить доступ доверенными адресами; — включить MFA для всех пользовательских и административных подключений; — проверить журналы на предмет подозрительных запросов к внутренним ресурсам, исходящих от самого шлюза, — это может указывать на попытку эксплуатации SSRF; — отслеживать дополнительные рекомендации и бюллетени вендора, если он раскроет детали остальных трёх уязвимостей. Учитывая максимальную оценку CVSS и отсутствие требования к аутентификации, промедление с обновлением неоправданно: окно между публикацией исправления и появлением публичных эксплойтов в подобных случаях обычно минимально. Итог: критическая SSRF-уязвимость с оценкой 10.0 делает SMA1000 привлекательной целью для атакующих, поэтому установка hotfix-обновлений и ограничение сетевого доступа к шлюзам должны стать приоритетом для ИБ-команд.Источник: The Hacker News