Múltiples vulnerabilidades en los dispositivos SonicWall SMA/SRA (CVE-2019-7481, CVE-2019-7482,CVE-2019-7483, CVE-2019-7484, CVE-2019-7485, CVE-2019-7486)

Publicado por primera vez: 26 Feb 2020 14:00 GMT
Estado: En desarrollo
Última actualización: 26 Feb 2020 14:00 GMT
Puntuación CVSS: 9.8

Resumen

El 18 de diciembre de 2019, SonicWall CSIRT publicó avisos de seguridad SNWLID-2019-0016 a SNWLID-2019-0021 [enlace], que identificaron vulnerabilidades en los dispositivos SonicWall Secure Mobile Access (SMA). La más peligrosa de ellas, CVE-2019-7482, podría permitir a un atacante no autenticado ejecutar código arbitrario en el dispositivo.

La vulnerabilidad recibió una puntuación de 9.8 y fue considerada Crítica.

Las versiones de software afectadas son 9.0.0.3 y anteriores. Las vulnerabilidades se han corregido en la versión 9.0.0.4, que está disponible para descargar desde el Centro de descargas de My SonicWall.

El aviso original indicaba que solo los dispositivos SMA100 son vulnerables, pero mis pruebas mostraron que al menos SMA500v y los antiguos dispositivos Secure Remote Access (SRA) comparten la misma base de código y, por lo tanto, también son vulnerables. SMA200 y SMA400 que ejecutan versiones de software vulnerables también podrían estar en riesgo. SMA 6200, 7200, 8200v y 9000 parecen estar construidos en otra plataforma y no están afectados.

Eventos clave de la vulnerabilidad

18 de diciembre de 2019: SonicWall anuncia las vulnerabilidades.
11 de febrero de 2020: Alain Mowat, quien descubrió las vulnerabilidades, publicó los detalles.
26 de febrero de 2020: Se estima el alcance de la vulnerabilidad en este informe.

Propagación de la vulnerabilidad y progreso de la corrección

Hasta el 2 de marzo de 2020, hay aproximadamente 15,000 dispositivos relevantes en Internet, y alrededor del 77% de ellos parecen ser vulnerables. Alrededor del 1.7% (269 dispositivos) se han parcheado desde la semana pasada.

A continuación se muestra el TOP-10 de propietarios de AS por cantidad de dispositivos vulnerables.

Si usted es representante de seguridad de un propietario de AS o CERT de un país que desea rastrear la propagación de la vulnerabilidad en las redes bajo su responsabilidad, por favor contácteme por correo electrónico o Twitter. Todos los conjuntos de datos están disponibles gratuitamente para personas autorizadas.

Detección de Exploits

Por el momento no hay un exploit público disponible. Según la información divulgada por Alain Mowat, se deben monitorear estos puntos de entrada:

• GET a /cgi-bin/supportLogin, para patrones de inyección SQL en el parámetro customerTID,
• GET a /cgi-bin/supportLogin, para valores inusualmente largos del encabezado User-Agent,
• GET a /cgi-bin/handleWAFRedirect, para patrones de Path Traversal en el parámetro hdl.

Desafortunadamente, el tráfico de red hacia los puntos de entrada de las vulnerabilidades está cifrado por TLS, por lo que no hay una manera conveniente de detectar intentos de explotación. Debe lograr obtener una copia sin cifrar del tráfico antes de aplicar las reglas de detección.

Explotación en la naturaleza

En este momento no hay evidencia de intentos de explotación pública.

Agradecimientos

Gracias a Alain Mowat (@plopz0r) de SCRT, quien descubrió estas vulnerabilidades.

Contactos

Twitter: @b4baysky
Correo electrónico: [email protected]

Enlaces

https://psirt.global.sonicwall.com/vuln-list
https://blog.scrt.ch/2020/02/11/sonicwall-sra-and-sma-vulnerabilties/