SonicWall ha recentemente divulgato una vulnerabilità critica di bypass dell’autenticazione in SonicOS, il sistema operativo che alimenta molti dei suoi dispositivi compatibili con SSLVPN. La vulnerabilità, CVE-2024-53704, consente ad attaccanti remoti non autenticati di dirottare sessioni VPN attive, bypassando le misure di autenticazione, incluso l’utilizzo dell’autenticazione a più fattori (MFA), per ottenere accesso non autorizzato alle reti interne.

I ricercatori di sicurezza hanno confermato il problema e sviluppato un exploit proof-of-concept (PoC) che dimostra il dirottamento delle sessioni tramite una falla nell’analisi base64 dei cookie di sessione SSLVPN.

Riassunto tecnico

CVE-2024-53704 è una vulnerabilità di dirottamento di sessione che deriva da una convalida debole nel processo di autenticazione di SSLVPN di SonicWall. La falla consente agli attaccanti di usare il server SSLVPN come un boolean blind oracle per forzare con attacchi brute-force cookie di sessione validi senza necessità di credenziali valide.

L’attacco si svolge come segue:

1. Indovinare un ID di sessione parziale e riempirlo con caratteri nulli.
2. Calcolare un checksum valido per la sessione parziale.
3. Codificare il payload in base64 e inviarlo all’endpoint /api/v1/client/sessionstatus.
4. Analizzare la risposta del server per confermare sessioni valide.
5. Ripetere il processo per forzare con brute-force l’ID di sessione completo.
6. Utilizzare un client VPN open-source, come nxBender, per dirottare la sessione e ottenere l’accesso.

Una volta che una sessione valida è stata dirottata, l’attaccante può stabilire una connessione persistente e muoversi lateralmente all’interno della rete.

Raccomandazioni

Le organizzazioni che utilizzano dispositivi SonicWall compatibili con SSLVPN interessati dovrebbero:

• Applicare immediatamente l’aggiornamento firmware più recente, come SonicOS 7.1.3-7015, che corregge il difetto nella validazione della sessione.
• Monitorare le sessioni VPN attive alla ricerca di attività sospette e forzare la disconnessione di tutte le sessioni attive dopo l’applicazione della patch.
• Implementare politiche di scadenza delle sessioni per ridurre il rischio di dirottamento di sessioni di lunga durata.
• Abilitare il monitoraggio e la registrazione aggiuntiva per rilevare tentativi di accesso non autorizzati.
• Considerare di limitare l’accesso VPN a indirizzi IP noti o dispositivi fidati ove possibile.