Hơn 178K tường lửa SonicWall dễ bị tấn công DoS và các cuộc tấn công RCE tiềm ẩn

Các nhà nghiên cứu bảo mật đã phát hiện hơn 178.000 tường lửa tiếp theo (NGFW) của SonicWall với giao diện quản lý được hiển thị trực tuyến dễ bị tấn công từ chối dịch vụ (DoS) và các cuộc tấn công thực thi mã từ xa (RCE) tiềm ẩn.

Các thiết bị này bị ảnh hưởng bởi hai lỗi bảo mật DoS được theo dõi là CVE-2022-22274 và CVE-2023-0656, lỗi trước đây cũng cho phép kẻ tấn công thực thi mã từ xa.

Jon Williams, Kỹ sư bảo mật cấp cao tại Bishop Fox cho biết: “Bằng cách sử dụng dữ liệu nguồn BinaryEdge, chúng tôi đã quét tường lửa SonicWall với các giao diện quản lý được kết nối với internet và nhận thấy rằng 76% (178.637 trong số 233.984) dễ bị tấn công trước một hoặc cả hai vấn đề”.

Theo Bishop Fox, người đã phát hiện ra cuộc tấn công khổng lồ này, mặc dù hai lỗ hổng này về cơ bản giống nhau vì chúng được gây ra bằng cách sử dụng lại cùng một mẫu mã dễ bị tấn công, nhưng chúng có thể bị khai thác ở các đường dẫn HTTP URI khác nhau.

Williams cho biết: “Nghiên cứu ban đầu của chúng tôi đã xác nhận khẳng định của nhà cung cấp rằng không có cách khai thác nào; tuy nhiên, khi xác định được mã dễ bị tấn công, chúng tôi phát hiện ra đó chính là vấn đề được công bố một năm sau đó với tên CVE-2023-0656”.

“Chúng tôi phát hiện ra rằng CVE-2022-22274 được gây ra bởi cùng một mẫu mã dễ bị tấn công ở một vị trí khác và hoạt động khai thác đã hoạt động dựa trên ba đường dẫn URI bổ sung.”

Ngay cả khi kẻ tấn công không thể thực thi mã trên thiết bị được nhắm mục tiêu, chúng vẫn có thể khai thác lỗ hổng để buộc thiết bị đó vào chế độ bảo trì, yêu cầu quản trị viên can thiệp để khôi phục chức năng tiêu chuẩn.

Do đó, ngay cả khi không xác định được liệu có thể thực thi mã từ xa hay không, kẻ xấu vẫn có thể lợi dụng các lỗ hổng này để vô hiệu hóa tường lửa biên và quyền truy cập VPN mà chúng cung cấp cho mạng công ty.

Theo dữ liệu từ nền tảng giám sát mối đe dọa Shadowserver, hơn 500.000 tường lửa SonicWall hiện đang bị lộ trực tuyến, trong đó có hơn 328.000 tường lửa ở Hoa Kỳ.

Tường lửa SonicWall tiếp xúc với Internet (ShadowServer)