SonicWall hat kürzlich eine kritische Schwachstelle zur Umgehung der Authentifizierung in SonicOS bekannt gegeben, dem Betriebssystem, das viele seiner SSLVPN-kompatiblen Geräte antreibt. Die Schwachstelle, CVE-2024-53704, ermöglicht es nicht authentifizierten Remote-Angreifern, aktive VPN-Sitzungen zu kapern, indem sie Authentifizierungsmaßnahmen – einschließlich der Multi-Faktor-Authentifizierung (MFA) – umgehen, um unbefugten Zugriff auf interne Netzwerke zu erlangen.

Sicherheitsforscher haben das Problem bestätigt und einen Proof-of-Concept (PoC)-Exploit entwickelt, der das Kapern von Sitzungen durch einen Fehler bei der Base64-Analyse von SSLVPN-Sitzungscookies demonstriert.

Produkt	SonicWall SSL VPN
Datum	04.02.2025 08:14:03
Informationen	Trending Fix verfügbar

Technische Zusammenfassung

CVE-2024-53704 ist eine Schwachstelle zum Kapern von Sitzungen (Session Hijacking), die auf einer schwachen Validierung im SSLVPN-Authentifizierungsprozess von SonicWall beruht. Die Lücke ermöglicht es Angreifern, den SSLVPN-Server als „Boolean Blind Oracle“ zu nutzen, um gültige Sitzungscookies mittels Brute-Force-Angriffen zu erzwingen, ohne dass dafür gültige Anmeldeinformationen erforderlich sind.

Der Angriff läuft wie folgt ab:

1. Erraten einer teilweisen Sitzungs-ID und Auffüllen mit Null-Zeichen.
2. Berechnen einer gültigen Prüfsumme für die teilweise Sitzung.
3. Base64-Kodierung des Payloads und Senden an den Endpunkt /api/v1/client/sessionstatus.
4. Analysieren der Serverantwort zur Bestätigung gültiger Sitzungen.
5. Wiederholen des Vorgangs, um die vollständige Sitzungs-ID per Brute-Force zu erzwingen.
6. Verwenden eines Open-Source-VPN-Clients wie nxBender, um die Sitzung zu kapern und Zugriff zu erlangen.

Sobald eine gültige Sitzung gekapert wurde, kann der Angreifer eine persistente Verbindung herstellen und sich seitwärts (lateral) innerhalb des Netzwerks bewegen.

Empfehlungen

Organisationen, die betroffene SSLVPN-kompatible SonicWall-Geräte verwenden, sollten:

• Sofort das neueste Firmware-Update installieren, wie z. B. SonicOS 7.1.3-7015, welches den Fehler bei der Sitzungsvalidierung behebt.
• Aktive VPN-Sitzungen auf verdächtige Aktivitäten überwachen und nach dem Einspielen des Patches alle aktiven Sitzungen zwangsweise trennen.
• Richtlinien für den Sitzungsablauf implementieren, um das Risiko des Kaperns langlebiger Sitzungen zu verringern.
• Zusätzliche Überwachung und Protokollierung aktivieren, um unbefugte Zugriffsversuche zu erkennen.
• In Erwägung ziehen, den VPN-Zugriff nach Möglichkeit auf bekannte IP-Adressen oder vertrauenswürdige Geräte zu beschränken.

[Callforaction-THREAT-Footer]