A SonicWall revelou que uma falha crítica de segurança divulgada recentemente que afeta o SonicOS pode estar sujeita a exploração ativa, tornando importante que os usuários apliquem patches o mais rápido possível.
A vulnerabilidade, rastreada como CVE-2024-40766, carrega uma pontuação CVSS de 9,3 em 10.
“Identificamos uma vulnerabilidade de controle de acesso imprópria no SonicWall SonicOS e no acesso de gerenciamento SSLVPN, que pode levar ao acesso não autorizado a recursos e, em alguns casos, fazer com que o firewall trave”, disse a SonicWall em um comunicado atualizado.
No desenvolvimento mais recente, a empresa revelou que o CVE-2024-40766 também afeta o recurso de firewall SSLVPN. O assunto foi discutido nas versões abaixo –
- SOHO (Firewalls Geração 5) – 5.9.2.14-13o
- Firewalls Gen 6 – 6.5.2.8-2n (para SM9800, NSsp 12400 e NSsp 12800) e 6.5.4.15.116n (para outros dispositivos de Firewall Gen 6)
Desde então, o fornecedor de segurança de rede atualizou o relatório para indicar que ele pode ter sido mal utilizado.
“Essa fraqueza pode ser explorada em estado selvagem”, acrescentou. “Por favor, aplique o patch o mais rápido possível nos produtos afetados.”
Como mitigação temporária, é recomendável limitar o gerenciamento do sistema de segurança a fontes confiáveis ou desativar o gerenciamento da WAN de segurança para acessar a Internet. Com SSLVPN, é aconselhável limitar o acesso a fontes confiáveis ou desabilitar completamente o acesso à Internet.
Mitigações adicionais incluem habilitar a autenticação multifator (MFA) para todos os usuários SSLVPN usando senhas de uso único (OTPs) e recomendar aos clientes que usam firewalls GEN5 e GEN6 com usuários SSLVPN com contas gerenciadas localmente para atualizar imediatamente suas senhas para evitar acesso não autorizado.
Atualmente não há informações sobre como a falha pode ter sido explorada em estado selvagem, mas os atores chineses que estão ameaçando, no passado, não imprimiram dispositivos SonicWall Secure Mobile Access (SMA) 100 para alcançar persistência a longo prazo.
