Критическая SSRF-уязвимость в SonicWall SMA 1000 атакуется в реальном времени

Компания SonicWall сообщила об уязвимости максимального уровня опасности в своих устройствах серии Secure Mobile Access (SMA) 1000. Проблема затрагивает шлюзы удалённого доступа, которые многие организации используют для предоставления сотрудникам защищённого подключения к корпоративной инфраструктуре. По имеющимся данным, злоумышленники уже начали активно эксплуатировать брешь — это подтверждают сообщения об атаках на клиентов SonicWall. Ситуация особенно тревожна тем, что SMA-устройства традиционно располагаются на периметре сети и напрямую доступны из интернета. Компрометация такого шлюза потенциально открывает атакующим путь во внутреннюю инфраструктуру компании.

Подробности

Речь идёт об уязвимости класса SSRF (Server-Side Request Forgery) максимальной степени критичности. SSRF позволяет злоумышленнику заставить уязвимое устройство выполнять запросы от своего имени — например, обращаться к внутренним ресурсам, недоступным напрямую извне. В сочетании с другими недостатками конфигурации это нередко приводит к обходу сетевых ограничений и дальнейшему развитию атаки. Уязвимость затрагивает линейку SMA 1000 — флагманские аппаратные и виртуальные шлюзы SonicWall для удалённого доступа. Устройства этой серии применяются в корпоративном сегменте и в государственных организациях, что повышает ставки. На момент публикации исходного материала представители SonicWall подтвердили факт атак, однако детали эксплойта и полный список потенциально затронутых версий прошивок в исходной статье не раскрываются. SonicWall — не первый раз в центре внимания: за последние годы продукты компании, включая линейку SMA, уже становились объектом целевых атак. Для злоумышленников это привлекательная цель: единожды получив доступ к шлюзу, они могут закрепиться в сети на длительное время.

Что делать

В первую очередь администраторам следует проверить, используются ли в инфраструктуре устройства SMA 1000, и незамедлительно применить все доступные обновления безопасности от SonicWall. Рекомендуется: - Следить за официальными бюллетенями безопасности SonicWall и оперативно устанавливать патчи; - Ограничить доступ к интерфейсам управления SMA из публичной сети, где это возможно; - Включить MFA для всех пользовательских и административных подключений; - Провести аудит журналов устройства на предмет подозрительных исходящих запросов и необычной активности; - При наличии признаков компрометации — изолировать устройство и провести расследование. Если обновление ещё не выпущено или не может быть установлено немедленно, стоит рассмотреть временные компенсирующие меры: ограничение доступа по IP-адресам, усиленный мониторинг и сегментацию сети, чтобы снизить возможный ущерб от эксплуатации уязвимости. Итог: уязвимость максимального уровня опасности в SonicWall SMA 1000 эксплуатируется прямо сейчас, и организациям, использующим эти шлюзы, нельзя откладывать проверку и обновление своих систем.

Источник: Dark Reading