Múltiplas Vulnerabilidades em Appliances SonicWall SMA/SRA (CVE-2019-7481, CVE-2019-7482,CVE-2019-7483, CVE-2019-7484, CVE-2019-7485, CVE-2019-7486)

Publicado pela primeira vez: 26 Fev 2020 14:00 GMT
Estado: Em desenvolvimento
Última atualização: 26 Fev 2020 14:00 GMT
Pontuação CVSS: 9.8

Resumo

Em 18 Dez 2019, o CSIRT da SonicWall publicou os Avisos de Segurança SNWLID-2019-0016 a SNWLID-2019-0021 [link], que identificaram vulnerabilidades nos appliances SonicWall Secure Mobile Access (SMA). A mais perigosa entre elas, CVE-2019-7482, podia permitir que um atacante não autenticado executasse código arbitrário no dispositivo.

A vulnerabilidade recebeu uma pontuação de 9.8 e foi considerada Crítica.

As versões de software afetadas são 9.0.0.3 e anteriores. As vulnerabilidades foram corrigidas na versão 9.0.0.4, que está disponível para download no My SonicWall Download Center.

O aviso original afirmava que apenas o appliance SMA100 era vulnerável, mas os meus testes mostraram que pelo menos o SMA500v e os appliances antigos de Acesso Remoto Seguro (SRA) partilham a mesma base de código e, portanto, também são vulneráveis. SMA200 e SMA400 a executar a versão de software vulnerável também podem estar em risco. SMA 6200, 7200, 8200v e 9000 parecem ser construídos noutra plataforma e não são afetados.

Eventos-chave da vulnerabilidade

18 Dez 2019: A SonicWall anuncia as vulnerabilidades.
11 Fev 2020: Alain Mowat, que tinha descoberto as vulnerabilidades, publicou os detalhes.
26 Fev 2020: Âmbito da vulnerabilidade estimado por este relatório.

Propagação da vulnerabilidade e progresso da correção

Em 2 Mar 2020 existem cerca de 15.000 dispositivos relevantes na Internet, e cerca de 77% deles parecem estar vulneráveis. Cerca de 1,7% (269 dispositivos) foram corrigidos desde a semana passada.

O TOP-10 dos proprietários de AS por número de dispositivos vulneráveis é apresentado abaixo.

Se você é representante de segurança do proprietário do AS ou CERT do país que deseja acompanhar a propagação da vulnerabilidade nas redes pelas quais é responsável, entre em contato comigo via email ou Twitter. Todos os conjuntos de dados estão disponíveis gratuitamente para pessoas autorizadas.

Deteção de Exploit

No momento, não há exploit público disponível. Com base nas informações divulgadas por Alain Mowat, estes pontos de entrada devem ser monitorados:

• GET para /cgi-bin/supportLogin, para padrões de SQL Injection no parâmetro customerTID,
• GET para /cgi-bin/supportLogin, para valores de cabeçalho User-Agent excecionalmente longos,
• GET para /cgi-bin/handleWAFRedirect, para padrões de Path Traversal no parâmetro hdl.

Infelizmente, o tráfego de rede para os pontos de entrada das vulnerabilidades é encriptado por TLS, por isso não há uma maneira conveniente de detetar tentativas de exploração. Terá de conseguir obter uma cópia não encriptada do tráfego antes de aplicar regras de deteção.

Exploração em Ambiente Real

Neste momento, não há evidências de quaisquer tentativas de exploração públicas.

Agradecimentos

Agradecimentos a Alain Mowat (@plopz0r) da SCRT que descobriu estas vulnerabilidades.

Contactos

Twitter: @b4baysky
Email: [email protected]

Links

https://psirt.global.sonicwall.com/vuln-list
https://blog.scrt.ch/2020/02/11/sonicwall-sra-and-sma-vulnerabilties/