Aanvallers maken actief misbruik van een bekende kwetsbaarheid om firewalls van SonicWall aan te vallen, zo laat het bedrijf zelf weten. Begin deze week kwam securitybedrijf Bishop Fox met proof-of-concept exploit waarmee misbruik van het beveiligingslek mogelijk is en sinds dezelfde dag vinden er aanvallen plaats, aldus SonicWall. Mogelijk lopen duizenden firewalls risico, ook al zijn updates sinds 7 januari beschikbaar.

De kwetsbaarheid, aangeduid als CVE-2024-53704, betreft een probleem in de authenticatie van de vpn-serverfunctionaliteit van de firewall. Via het beveiligingslek kan een remote aanvaller de authenticatie omzeilen en zo toegang tot de SSLVPN-webserver krijgen. SonicWall waarschuwde bij het uitkomen van de updates om die zo snel mogelijk te installeren en dat het beveiligingslek 'susceptible to actual exploitation' is.

Onderzoekers van Bishop Fox stellen dat een aanvaller via de kwetsbaarheid sessies van actieve SSLVPN-gebruikers kan kapen. "Een aanvaller met controle over een actieve SSLVPN-sessie kan de Virtual Office bookmarks van de gebruiker lezen, het client configuratieprofiel voor NetExtender verkrijgen, een vpn-tunnel openen, private networks benaderen waar het gekaapte account toegang toe heeft en de sessie uitloggen, waardoor ook de verbinding van de gebruiker wordt beëindigd."

Vorige week telde Bishop Fox naar eigen zeggen nog zo'n 4500 kwetsbare SonicWall-firewalls op internet. De proof-of-concept exploit verscheen op 10 februari online en dezelfde dag kwam SonicWall met een update van het beveiligingsbulletin, waarin het stelde dat misbruik plaatsvindt en beheerders de update meteen moeten installeren mocht dat nog niet zijn gedaan. Ook securitybedrijven Arctic Wolf en Rapid7 melden actief misbruik.