セキュリティ研究者が、ランサムウェア攻撃でファイアウォールの重大な脆弱性が積極的に悪用されていると警告したことを受けて、SonicWall の顧客はファイアウォールの脆弱性を修正するよう求められている。
CVSS 9.3 と評価された脆弱性 (CVE-2024-40766) は、セキュリティベンダーによって 8 月 22 日に最初に公開されましたが、9 月 6 日の更新で、この脆弱性が積極的に悪用されていると主張されました。
「SonicWall SonicOS 管理アクセスと SSLVPN に不適切なアクセス制御の脆弱性が見つかりました。これにより、不正なリソース アクセスが発生する可能性があり、特定の状況ではファイアウォールがクラッシュする可能性があります」と勧告では指摘されています。
「この問題は、SonicWall Gen 5 および Gen 6 デバイス、および SonicOS 7.0.1-5035 以前のバージョンを実行している Gen 7 デバイスに影響します。この脆弱性は、実際に悪用されている可能性があります。影響を受ける製品には、できるだけ早くパッチを適用してください。」
アークティック・ウルフの上級脅威情報研究者、ステファン・ホステラー氏は金曜日のブログ投稿で、Akiraランサムウェアの仲間が攻撃の初期アクセスベクトルとしてSonicWallデバイス上のSSLVPNアカウントを侵害したと主張した。
「いずれの場合も、侵害されたアカウントはMicrosoft Active Directoryなどの集中認証ソリューションに統合されたものではなく、デバイス自体にローカルに保存されていました」と彼は付け加えた。「さらに、 [multi-factor authentication] 侵害されたすべてのアカウントで MFA が無効になっており、影響を受けたデバイスの SonicOS ファームウェアは CVE-2024-40766 に対して脆弱であることが知られているバージョンでした。」
Hostetler 氏は、最新の SonicOS ファームウェアにアップグレードし、ローカルで管理されている SSLVPN アカウントに対して MFA をオンにするだけでなく、Gen5 および Gen6 デバイスの所有者/管理者に各アカウントのパスワードを更新するよう強く勧めました。
Rapid7 の研究者も状況を監視しており、CVE-2024-40766 に関連する脅威活動の可能性に注目しています。
「2024年9月9日現在、Rapid7は、ランサムウェアグループによるものも含め、SonicWall SSLVPNアカウントが標的にされたり侵害されたりした最近の事件（外部およびRapid7が観察したもの）をいくつか認識しています」と同社は説明している。
「CVE-2024-40766 とこれらのインシデントを結び付ける証拠はまだ状況証拠に過ぎませんが、ソフトウェア全般に対する攻撃者の関心を考慮すると、Rapid7 は緊急に修復することを強く推奨します。CVE-2024-40766 のような脆弱性は、被害者の環境への初期アクセスに頻繁に使用されます。」
月曜日、この欠陥はCISAの既知の悪用された脆弱性（KEV）カタログに追加され、連邦政府機関には9月30日までに修正プログラムを適用する期限が与えられた。
#重大な #SonicWall #SSLVPN #バグがランサムウェア攻撃者に悪用される