Атакующий мог нарушить бизнес-процессы в организации
Уязвимость, обнаруженная экспертом Positive Technologies Никитой Абрамовым, позволяет аутентифицированному злоумышленнику получить полный контроль над системой SonicWall On-Prem Network Security Manager (NSM). Данный продукт предназначен для централизованного управления межсетевыми экранами SonicWall, отслеживания угроз и рисков в сетевом трафике. Согласно данным IDC, SonicWall занимает пятое место на глобальном рынке аппаратных средств безопасности.
Ошибка получила идентификатор CVE-2021-20026 и оценку 8,8 по шкале CVSSv3, что соответствует высокому уровню опасности. Для эксплуатации этой уязвимости — внедрения команд серверной операционной системы в пользовательский запрос — атакующие должны пройти аутентификацию в NSM. В случае успешной атаки злоумышленник может получить доступ как ко всем возможностям уязвимой платформы SonicWall NSM внутри организации, так и к операционной системе, на основе которой она развернута. Уязвимость была исправлена SonicWall в мае 2021 года.
"Для проведения успешной атаки на уязвимое устройство достаточно авторизации в системе NSM даже с минимальным уровнем привилегий. Система SonicWall NSM может централизованно управлять сотней устройств. Поэтому последствия вмешательства в ее работу могут негативно сказаться на работе организации вплоть до полного отключения ее защиты от внешнего мира или даже остановки ее бизнес-процессов, — рассказал Никита Абрамов. — Как и в случае с Cisco ASA, есть риск, что атакующий может ограничить доступ ко внутренней сети организации, заблокировав доступ по VPN, или пропишет новые политики для сетевого трафика, полностью прекратив его прохождение через файрвол".
Специалисты группы реагирования на инциденты SonicWall прокомментировали ситуацию следующим образом: «Благодаря сотрудничеству с Positive Technologies компания SonicWall смогла подтвердить и исправить уязвимость, связанную с аутентификацией, которой подвержена система SonicWall On-Prem Network Security Manager (NSM). Уязвимость затронула только локально развернутые версии продукта (on-premises) и не коснулась более распространенной версии SaaS. Пострадавшие партнеры и клиенты SonicWall были немедленно проинформированы о патче и получили инструкцию по обновлению в мае 2021 года».
Как отмечает исследователь, с технической точки зрения уязвимость вызвана недостаточной фильтрацией входных данных и их прямой передачей на обработку операционной системе. Подобные ошибки можно сократить или полностью устранить путем внедрения практики безопасного программирования на всех этапах цикла разработки. Однако, поскольку даже автоматизированные проверки иногда пропускают ошибки в коде, проведение тестирования на проникновение до вывода продукта на рынок может повысить уверенность в том, что определенные уязвимости будут обнаружены и устранены.
Уязвимости подвержены SonicWall NSM On-Prem 2.2.0-R10 и более ранние версии продукта. Для устранения проблемы производитель рекомендует установить SonicWall NSM 2.2.1-R6. Мы рекомендуем организациям, которые используют версию SonicWall NSM On-Prem, ознакомиться с материалами базы знаний SonicWall по ссылке: https://www.sonicwall.com/support/product-notification/security-advisory-on-prem-sonicwall-network-security-manager-nsm-command-injection-vulnerability/210525121534120/
Автоматизировать обнаружение и приоритизацию подобных уязвимостей позволяют системы управления уязвимостями, такие как MaxPatrol VM. Выявить признаки проникновения (например, в случае невозможности установки обновления) помогут системы класса SIEM (в частности, MaxPatrol SIEM), которые позволяют обнаружить подозрительное поведение на сервере, зарегистрировать инцидент и своевременно остановить продвижение злоумышленников внутри корпоративной сети.