Multiples vulnérabilités dans les appliances SonicWall SMA/SRA (CVE-2019-7481, CVE-2019-7482, CVE-2019-7483, CVE-2019-7484, CVE-2019-7485, CVE-2019-7486)

Première publication : 26 févr. 2020 14:00 GMT
Statut : En développement
Dernière mise à jour : 26 févr. 2020 14:00 GMT
Score CVSS : 9.8

Résumé

Le 18 décembre 2019, le CSIRT de SonicWall a publié des avis de sécurité SNWLID-2019-0016 à SNWLID-2019-0021 [lien], qui identifiaient des vulnérabilités dans les appliances SonicWall Secure Mobile Access (SMA). La plus dangereuse d'entre elles, CVE-2019-7482, pourrait permettre à un attaquant non authentifié d'exécuter du code arbitraire sur l'appareil.

Cette vulnérabilité a reçu un score de 9.8 et a été jugée Critique.

Les versions logicielles concernées sont 9.0.0.3 et antérieures. Les vulnérabilités ont été corrigées dans la version 9.0.0.4, disponible en téléchargement depuis le Centre de téléchargement My SonicWall.

L'avis d'origine indiquait que seul l'appliance SMA100 était vulnérable, mais mes tests ont montré qu'au moins les SMA500v et les anciennes appliances Secure Remote Access (SRA) partagent la même base de code et sont donc également vulnérables. Les SMA200 et SMA400 exécutant une version logicielle vulnérable pourraient également être à risque. Les SMA 6200, 7200, 8200v et 9000 semblent être construits sur une autre plateforme et ne sont pas concernés.

Événements clés des vulnérabilités

18 décembre 2019 : SonicWall annonce les vulnérabilités.
11 février 2020 : Alain Mowat, qui a découvert les vulnérabilités, publie les détails.
26 février 2020 : Étendue des vulnérabilités estimée par ce rapport.

Propagation des vulnérabilités et progression des correctifs

Au 2 mars 2020, il y a environ 15 000 appareils concernés sur Internet, et environ 77 % d'entre eux semblent vulnérables. Environ 1,7 % (269 appareils) ont été corrigés depuis la semaine dernière.

Le TOP-10 des propriétaires d'AS par nombre d'appareils vulnérables est présenté ci-dessous.

Si vous êtes un représentant de la sécurité d'un propriétaire d'AS ou d'un CERT national qui souhaite suivre la propagation de la vulnérabilité dans les réseaux dont vous êtes responsable, veuillez me contacter par email ou Twitter. Tous les ensembles de données sont librement disponibles pour les personnes autorisées.

Détection des exploits

Pour l'instant, aucun exploit public n'est disponible. Sur la base des informations divulguées par Alain Mowat, ces points d'entrée doivent être surveillés :

• GET vers /cgi-bin/supportLogin, pour les motifs d'injection SQL dans le paramètre customerTID,
• GET vers /cgi-bin/supportLogin, pour des valeurs d'en-tête User-Agent anormalement longues,
• GET vers /cgi-bin/handleWAFRedirect, pour les motifs de traversée de chemin dans le paramètre hdl.

Malheureusement, le trafic réseau vers les points d'entrée des vulnérabilités est chiffré par TLS, il n'y a donc aucun moyen pratique de détecter les tentatives d'exploitation. Vous devez parvenir à obtenir une copie non chiffrée du trafic avant d'appliquer les règles de détection.

Exploitation dans la nature

À ce stade, il n'y a aucune preuve de tentatives d'exploitation publiques.

Remerciements

Merci à Alain Mowat (@plopz0r) de SCRT qui a découvert ces vulnérabilités.

Contacts

Twitter: @b4baysky
Email: [email protected]

Liens

https://psirt.global.sonicwall.com/vuln-list
https://blog.scrt.ch/2020/02/11/sonicwall-sra-and-sma-vulnerabilties/