Bishop Foxのセキュリティ研究者は、SonicOS SSLVPNアプリケーションの特定のバージョンで認証メカニズムをバイパスできる脆弱性CVE-2024-53704の完全な悪用の詳細を発表した。
同ベンダーは1月7日、この脆弱性が悪用される可能性が高いことを警告し、管理者に対し、SonicOSファイアウォールのファームウェアをアップグレードしてこの問題に対処するよう促している。
「我々は、SSL VPNまたはSSH管理を有効にしている顧客に対して、実際に悪用される可能性のあるファイアウォールの脆弱性を特定した。
この欠陥により、リモートの攻撃者は認証なしでアクティブなSSL VPNセッションをハイジャックし、被害者のネットワークに不正にアクセスできるようになる。
1月22日、Bishop Foxの研究者は、「大規模なリバースエンジニアリング作業」の結果、CVE-2024-53704のエクスプロイトを開発したと発表し、脆弱性の悪用の可能性に関するSonicWallの懸念を裏付けた。
ソースはこちら：ビショップ・フォックス
システム管理者が利用可能なパッチを適用するのに時間をかけた後、Bishop Foxは月曜日に悪用の詳細を発表した。
この悪用は、SSL VPN 認証エンドポイント ‘/cgi-bin/sslvpnclient’ に、null バイトの base64 エンコード文字列を含む特別に細工されたセッション Cookie を送信することで機能する。
これは、リクエストがアクティブなVPNセッションに関連付けられているとメカニズムが仮定するため、セッションの不正な検証を引き起こす。
これにより被害者はログアウトし、攻撃者はセッションにアクセスできるようになり、ユーザーの Virtual Office ブックマークの読み取り、VPN クライアントのコンフィギュレーション設定の取得、内部ネットワークへの VPN トンネルのオープン、プライベート・ネットワーク・リソースへのアクセスが可能になる。
ビショップ・フォックス
研究者たちは、分析の妥当性をテストするために、認証バイパス攻撃をシミュレートする概念実証のエクスプロイトコードを作成しました。レスポンス・ヘッダを見ると、アクティブ・セッションの乗っ取りに成功していた。
「これにより、乗っ取られたセッションのユーザー名とドメイン、およびユーザーがSSL VPNを通じてアクセスできたプライベートルートを特定することができました」と研究者は述べている。
利用可能なセキュリティアップデート
この問題は、SonicOSのバージョン7.1.x（7.1.1-7058まで）、7.1.2-7019、および8.0.0-8035に影響する。これらのバージョンは、Gen 6およびGen 7ファイアウォールの複数のモデル、およびSOHOシリーズのデバイスで実行されます。
修正は、SonicOS 8.0.0-8037以降、7.0.1-5165以降、7.1.3-7015以降、および6.5.5.1-6n以降で利用可能です。機種ごとの情報については、こちらのSonicWallの速報を参照。
ビショップ・フォックスによると、2月7日時点のインターネット・スキャンでは、CVE-2024-53705を修正するセキュリティ・アップデートが適用されていないSonicWall SSL VPNサーバーが約4,500台インターネット上に露出しているという。
CVE-2024-53705の悪用リスクは大幅に増加しているため、管理者はできるだけ早くアップデートを適用する必要がある。
Comments