SonicWall warns of actively exploited SMA1000 zero-day flaws
La compañía SonicWall ha alertado a sus usuarios sobre ciberdelincuentes que están combinando dos nuevas vulnerabilidades de día cero del dispositivo SMA1000 en ataques de ejecución remota de código. La primera falla es un problema de inyección de comandos de máxima gravedad originado por una debilidad de falsificación de peticiones del lado del servidor en la interfaz WorkPlace. La segunda vulnerabilidad también consiste en una inyección de comandos, ubicada en la consola de gestión del aparato, la cual puede ser aprovechada por atacantes con privilegios de administrador para ejecutar órdenes arbitrarias en el sistema operativo de los equipos afectados.
Estos fallos de seguridad impactan a determinados modelos del dispositivo SMA1000, específicamente al 6210, 7210 y 8200v, aunque la empresa aclaró que no se ven afectadas las conexiones SSL-VPN en firewalls de la marca ni la línea de productos SMA de la serie 100. Organismos de vigilancia en internet mantienen bajo monitoreo a varios cientos de estos equipos expuestos en la red. Ante esta situación, la organización ha hecho un llamado urgente a los usuarios para que apliquen la versión de parche temporal correspondiente lo antes posible tanto en dispositivos virtuales como físicos.
Adicionalmente, la compañía recomendó a los administradores restablecer las imágenes de los aparatos, modificar las credenciales de usuarios y administradores, y reiniciar los tokens de autenticación de un solo uso en caso de hallar indicios de compromiso, a pesar de que todavía no se han publicado detalles específicos sobre los ataques ni un listado de indicadores de compromiso. Este tipo de equipos de acceso remoto seguro suelen ser blancos atractivos para los agresores debido a que son utilizados por grandes empresas, entidades gubernamentales e instituciones de infraestructura crítica.
El texto del artículo no aporta más detalle sobre el tema.