Kimliği doğrulanmamış iki hizmet reddi (DoS) güvenlik açığı, güvenliği tehdit ediyor SonicWall yeni nesil güvenlik duvarı cihazları, 178.000’den fazlasını her ikisine de maruz bırakıyor arasında birlikte uzaktan kod yürütme (RCE) saldırılar.
Her ne kadar kusurlar sırasıyla takip edilse de CVE-2022-22274 Ve CVE-2023-0656 BishopFox güvenlik firmasında kıdemli güvenlik mühendisi Jon Williams, bir yıl arayla keşfedildiklerini ve “temelde aynı” olduklarını, ancak her birinin istismar için farklı bir HTTP URI yolu gerektirdiğini yazdı. bir blog yazısı dün yayınlandı. SonicWall etkilenen ürünler seri 6 ve 7 güvenlik duvarlarıdır.
“CVE-2022-22274 ve CVE-2023-0656, farklı URI yollarında aynı güvenlik açığını temsil ediyor; bu güvenlik açığı bulunan cihazları çökertmek için kolayca yararlanılabilen bir sorundur” diye yazdı.
SonicWall Güvenlik Duvarlarına Yönelik DoS Saldırıları Yüksek Potansiyeli
Gerçekten de, yaygın bir saldırının potansiyel etkisinin “ciddi” olduğunu belirtti; saldırganlar, güvenlik duvarı üzerindeki hatalardan birini veya ikisini birden hedefleyerek cihazı çökertebilir veya RCE gerçekleştirebilir, güvenlik duvarlarını devre dışı bırakabilir ve potansiyel olarak VPN’yi devre dışı bırakırken kurumsal ağlara girişe izin verebilir. erişim.
Williams, “Varsayılan konfigürasyonunda, SonicOS bir çökmeden sonra yeniden başlatılıyor, ancak kısa bir süre içindeki üç çökmeden sonra bakım moduna geçiyor ve normal işlevselliği geri yüklemek için idari eylem gerektiriyor” diye açıkladı Williams.
BishopFox araştırmacıları, internete açık yönetim arayüzlerine sahip SonicWall güvenlik duvarlarını taramak için BinaryEdge kaynak verilerini kullandı ve keşfedilen 233.984 cihazdan 178.637’sinin bir veya her iki soruna karşı savunmasız olduğunu buldu.
Şu ana kadar her iki kusurdan da yararlanıldığına dair bir rapor bulunmamasına rağmen, daha yakın zamanda keşfedilen hata için bir yararlanma kodu mevcut ve BishopFox da kusurlar için kendi yararlanma kodunu geliştirdi.
Williams, etkilenen SonicWall cihazlarını kullanan kuruluşlar için neyse ki mevcut en son aygıt yazılımının her iki güvenlik açığına karşı koruma sağladığını ve bir güncellemenin riski azaltabileceğini söyledi.
Kimliği Doğrulanmamış İki Kusurun Hikayesi
İki hatadan, Mart 2022’de keşfedilen, NGFW web yönetimi arayüzlerini etkileyen, kimliği doğrulanmamış bir arabellek taşması olan CVE-2022-22274 daha tehlikeli olarak derecelendirildi ve CVE-2023-0656’nın 7,5 puanına karşılık CVSS’de 9,4 gibi kritik bir puan aldı. Görünüşte aynı tür kusur olan ve yaklaşık bir yıl sonra keşfedilen.
Uzaktaki, kimliği doğrulanmamış bir saldırgan, bir HTTP isteği yoluyla bu kusurdan yararlanarak DoS’a neden olabilir veya güvenlik duvarında kod yürütme potansiyeline sahip olabilir. bir rapora Watchtower Labs tarafından Ekim ayında yayınlanan güvenlik açığı hakkında.
BishopFox, bu raporu, CVE-2022-22274’ün çalışma mekanizmasını daha derinlemesine incelemek ve bunun için kendi yararlanma kodunu geliştirmek için temel olarak kullandı. Bu süreçte, araştırmacıların sıfır gün olabileceğini düşündüğü ancak SonicWall tarafından zaten rapor edilmiş olan CVE-2023-0656’yı keşfettiler ve iki kusurun birbiriyle ilişkili olduğunu buldular.
Araştırmacılar, CVE-2022-22274’ü iki koşulun karşılanması gereken bir HTTP isteği aracılığıyla tetikledi: URI yolu 1024 bayttan uzun olmalı ve HTTP sürüm dizesi, yığın kanaryasının üzerine yazılmasına neden olacak kadar uzun olmalıdır.
Savunmasız SonicWall serisi 6 ve 7 sanal cihazlarına, hatta bazı yamalı versiyonlara karşı bir DoS saldırısı gerçekleştirmeyi başardılar. Williams, CVE-2022-22274’ün güvenlik duvarlarına yamanmasına rağmen CVE-2023-0656’nın yamalanmadığını ve her iki kusurun da farklı bir yerdeki aynı savunmasız kod modelinden kaynaklandığını fark etmelerini sağlayan şeyin bu olduğunu söyledi.
Gönderisinde “Bildiğimiz kadarıyla, CVE-2022-22274 ile CVE-2023-0656 arasında bağlantı kuran daha önce hiçbir araştırma yayınlanmadı” diye yazdı. “Açıkçası, her iki güvenlik açığı da aynı temel hatayı paylaşıyor, ancak ilk yama yalnızca güvenlik açığı bulunan kodu tek bir yerde düzeltti ve diğer örneklerin bir yıl sonra bulunup bildirilmesine izin verdi.”
Williams, BishopFox araştırmacılarının ayrıca, istismar koşullarının ilkini karşılayarak, ikincisini değil, savunmasız cihazları çevrimdışı duruma getirmeden “güvenilir bir şekilde tanımlayabildiklerini” keşfettiklerini yazdı. Bu, hedeflenen cihazdan farklı yanıtlar alınmasına neden oluyor “çünkü yamalı sürümlerdeki arabellek taşması kontrolü, bağlantının yanıt vermeden kesilmesine neden oluyor” diye yazdı.
Williams, “Bunu beş URI yolunun tamamında test ettik ve güvenlik açığı kontrolünün çok çeşitli SonicOS sürümlerinde güvenilir olduğunu gördük” dedi. BishopFox serbest bırakıldı bir Python aracı SonicWall cihazlarındaki kusurları test etmek ve hatta kullanmak için.
SonicWall Siber Saldırılarına Karşı Yama Yapın ve Koruyun
Dünya çapında yüz binlerce şirket, çok sayıda devlet kurumu ve dünyanın en büyük şirketlerinden bazıları da dahil olmak üzere SonicWall ürünlerini kullanıyor. Yaygın kullanımları, cihazlar savunmasız hale geldiğinde onları çekici bir saldırı yüzeyi haline getiriyor; gerçekten de saldırganların saldırma geçmişi var SonicWall kusurları hakkında için fidye yazılımı ve diğer saldırılar.
Williams, mevcut istismar göz önüne alındığında, bu noktada tehlikenin potansiyel bir RCE saldırısında DoS olayı kadar olmadığını, çünkü saldırganların PIE, ASLR ve yığın kanaryaları da dahil olmak üzere aşılması gereken birkaç teknik engele sahip olacağını belirtti.
“Belki de bir saldırgan için daha büyük bir zorluk, belirli bir hedefin hangi ürün yazılımı ve donanım sürümlerini kullandığını önceden belirlemektir, çünkü istismarın bu parametrelere göre uyarlanması gerekir” diye ekledi. “SonicWall güvenlik duvarlarının uzaktan parmak izini almak için şu anda hiçbir teknik bilinmediğinden, saldırganların RCE’den yararlanma olasılığı bizim tahminimize göre hala düşük.”
Ne olursa olsun, ağ yöneticilerinin yine de cihazların güvenliğini sağlamak için önlem alması gerekir. BishopFox, ağ yöneticilerini, araştırmacıların savunmasız cihazları kontrol etmek için geliştirdiği aracı kullanmaya çağırıyor. Bulunursa, bir cihazın yönetim arayüzünün çevrimiçi olarak açığa çıkmamasını sağlamalı ve olası bir DoS saldırısına karşı güvenlik sağlamak için en son cihaz yazılımını güncellemelidirler.