SonicWall, empresa dedicada a la venta de dispositivos de Internet dirigidos principalmente al control de contenido y la seguridad de la red, como por ejemplo, productos de firewall y VPN.
Los equipos de ingeniería de SonicWall han descubierto vulnerabilidades de riesgo alto en sus productos, y además se encuentran investigando las probables vulnerabilidades de día cero con los productos de la serie SMA 100. Los mismos no han brindado detalles acerca de la explotación de la vulnerabilidad, sin embargo recomiendan algunas medidas de mitigación hasta la próxima actualización.
Productos afectados
- SonicWall SMA 100 series (SMA 200, SMA 210, SMA 400, SMA 410, SMA 500v)
- SonicWall SMA100 version 10.2.0.2-20sv y anteriores.
En su comunicado SonicWall ha indicado que los clientes actuales de la serie SMA 100 pueden seguir utilizando NetExtender de forma segura para el acceso remoto con la serie SMA 100, ya que han determinado que ese caso de uso no es susceptible de explotación. NetExtender 10.xy las versiones anteriores no se ven afectadas por este incidente.
La compañía ha determinado que la vulnerabilidad es de criticidad alta debido a que su explotación no requiere emplear grandes esfuerzos y en caso de ser exitosa podría causar daños graves, por lo que se recomienda por el momento aplicar las medidas de mitigación con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos. Además han asegurado que no se han visto vulneradas sus VPN, ni tampoco su serie de firewalls.
Por otra parte, la vulnerabilidad identificada con el CVE-2020-5146 en el dispositivo SonicWall SMA100, versión 10.2.0.2-20sv y anteriores, permite que un usuario de administración autenticado realice la inyección de comandos del sistema operativo utilizando parámetros HTTP POST.
Actualización 02/02/2021: Se ha confirmado la vulnerabilidad zero-day en la versión 10.x de la serie SMA 100. El firmware SMA 100 anterior a 10.x no se ve afectado, informó en una actualización de su aviso de seguridad.
Fue identificado un exploit que aprovecha la vulnerabilidad zero-day en los dispositivos SMA 100. SonicWall ya está trabajando en un parche que estará disponible al final del día 3 de febrero de 2021.
Adicionalmente SonicWall ha agregado 60 días gratuitos de habilitación de WAF a todos los dispositivos registrados de la serie SMA 100 con código 10.X como técnica de mitigación. Esta licencia de 60 días se habilitó automáticamente en las cuentas de “www.MySonicWall.com” de los dispositivos registrados de la serie SMA 100 desde el 2 de febrero.
El parche del 3 de febrero sigue siendo la solución definitiva a la vulnerabilidad de zero-day. El parche incluirá un refuerzo de código adicional y debe aplicarse inmediatamente cuando esté disponible .
Adicionalmente a las recomendaciones ya mencionadas en este artículo, se sugiere cambiar las contraseñas de los dispositivos afectados.
Recomendaciones:
- Si la serie SMA 100 (10.x) está detrás de un firewall, habilitar la funcionalidad WAF en el dispositivo de la serie SMA 100, siga las INSTRUCCIONES.
- Apague el dispositivo de la serie SMA 100 (10.x) hasta que haya un parche disponible; o
- Cargue la versión de firmware 9.x después de reiniciar la configuración predeterminada de fábrica. * Haga una copia de seguridad de su configuración 10.x *
- Nota importante: No se admite la degradación directa del firmware 10.x a 9.x con la configuración intacta. Primero debe reiniciar el dispositivo con los valores predeterminados de fábrica y luego cargar una configuración 9.x respaldada o reconfigurar el SMA 100 desde cero.
- Restablezca las contraseñas de usuario para las cuentas que utilizaron la serie SMA 100 con firmware 10.X
- Habilite la autenticación de dos factores (2FA) en los dispositivos de la serie SMA 100. Referencia.
- Además:
- Habilite el filtro Geo-IP/botnet y cree una política que bloquee el tráfico web de países que no necesitan acceder a sus aplicaciones. Referencia – Pag. 248
- Habilite y configure End Point Control (EPC) para verificar los dispositivos de usuario antes de establecer la conexión. Referencia – Pag. 207
- Restrinja el acceso al portal habilitando inicios de sesión / cierres programados. Referencia – Pag. 117
Referencias
- https://www.sonicwall.com/support/product-notification/urgent-security-notice-sonicwall-confirms-sma-100-series-10-x-zero-day-vulnerability-feb-1-2-p-m-cst/210122173415410/
- https://psirt.global.sonicwall.com/vuln-list
- https://www.sonicwall.com/support/product-notification/urgent-security-notice-probable-sma-100-series-vulnerability-updated-jan-25-2021/210122173415410/
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001
- https://www.ccn-cert.cni.es/seguridad-al-dia/alertas-ccn-cert/10768-ccn-cert-al-01-21-vulnerabilidad-de-zero-day-en-sonicwall.html
- https://www.incibe.es/protege-tu-empresa/avisos-seguridad/ataque-coordinado-productos-acceso-remoto-sma-100-sonicwall