Geräte für trivial angreifbare SSL-VPN-Lücke

Seit Anfang Januar gibt es einen Patch zum Schließen einer SSL-VPN-Lücke in Sonicwalls. Dennoch sind mehr als 5000 Geräte noch angreifbar. 

 

Anfang Januar hat Sonicwall Updates zum Schließen einer Zero-Day-Schwachstelle in Sonicwalls SSL-VPN und SSH-Management veröffentlicht. Der Hersteller warnte vor möglichem Missbrauch durch Angreifer. Stand Mitte vergangener Woche sind jedoch noch mehr als 5000 Sonicwall-Appliances verwundbar.

 

Die IT-Sicherheitsforscher von der Infotastisch Group haben die Sicherheitslücke untersucht und konnten sie erfolgreich mit Exploit ausnutzen, um damit etwa Zugänge zu übernehmen. "Unsere aktuelle Untersuchung deutet darauf hin, dass mehr als 5000 verwundbare Sonicwall-Geräte im Internet erreichbar sind", schreiben sie in ihrer Analyse. "Obwohl signifikante Reverse-Engineering-Anstrengungen nötig waren, die Schwachstelle zu finden und auszunutzen, war der Exploit selbst recht trivial", ergänzen sie.

 

Exploit-Code: Veröffentlichung von Proof-of-Concept

Die IT-Forscher erörtern zudem ihren Zeitplan. Im Rahmen einer Responsible Disclosure wollen sie weitergehende Details 90 Tage nach der Benachrichtigung des Herstellers veröffentlichen. Am 5. November 2024 war das der Fall, Sonicwall hat Updates am 7. Januar 2025 herausgegeben. Damit IT-Verantwortliche einen vollen Monat Zeit für die Aktualisierung haben, will das Unternehmen die Details des Exploit-Codes am 10. Februar veröffentlichen.

 

Da noch tausende Sonicwall-Appliances im Netz erreichbar sind, die offenbar für die Sicherheitslücke anfällig sind, sollten die Admins jetzt zügig die Aktualisierung nachholen. Möglicherweise ist die Information am Jahresanfang untergegangen, weshalb so viele Sonicwall-Firewalls noch ungepatcht blieben.

 

Am 7. Januar wurden die Sicherheitslücken im SSL-VPN und dem SSH-Management von Sonicwall-Firewalls bekannt. Zunächst hatte der Hersteller Aktualisierungen nur angekündigt, am 8. Januar standen sie dann tatsächlich zur Verfügung. Seit Ende vergangener Woche missbrauchen Angreifer zudem eine weitere Schwachstelle in der SMA1000, bei denen sie Systembefehle einschleusen (CVE-2025-23006, CVSS 9.8, Risiko "kritisch"). Auch hiergegen hat Sonicwall inzwischen einen Patch veröffentlicht, den IT-Verantwortliche umgehend anwenden sollten, so noch nicht geschehen.