Los atacantes aprovechan dos vulnerabilidades «zero-day» del SonicWall SMA 1000 que podrían formar una cadena de ataque

So­nic­Wall pu­bli­có ac­tua­li­za­cio­nes de se­gu­ri­dad para co­rre­gir dos fa­llas en sus dis­po­si­ti­vos VPN de la serie Se­cu­re Mo­bi­le Ac­cess (SMA) 1000, las cua­les han sido uti­li­za­das en ata­ques de día cero. Estos pro­ble­mas fue­ron ha­lla­dos de ma­ne­ra in­ter­na por Wi­lliam Perry y Adam Babis, em­plea­dos de la com­pa­ñía.

El pri­mer fallo, iden­ti­fi­ca­do con una pun­tua­ción má­xi­ma, co­rres­pon­de a una vul­ne­ra­bi­li­dad de fal­si­fi­ca­ción de so­li­ci­tu­des del lado del ser­vi­dor pre­via a la au­ten­ti­ca­ción en la in­ter­faz del es­pa­cio de tra­ba­jo del dis­po­si­ti­vo, lo que po­si­bi­li­ta que un ata­can­te re­mo­to sin au­ten­ti­car ob­ten­ga ac­ce­so no au­to­ri­za­do a fun­cio­nes sen­si­bles y eje­cu­te ope­ra­cio­nes no per­mi­ti­das. El se­gun­do de­fec­to es una vul­ne­ra­bi­li­dad de in­yec­ción de co­man­dos del sis­te­ma ope­ra­ti­vo pos­te­rior a la au­ten­ti­ca­ción en la con­so­la de ad­mi­nis­tra­ción, per­mi­tien­do a un ata­can­te re­mo­to au­ten­ti­ca­do como ad­mi­nis­tra­dor eje­cu­tar co­man­dos ar­bi­tra­rios bajo cier­tas con­di­cio­nes para lo­grar la eje­cu­ción re­mo­ta de có­di­go.

La em­pre­sa in­ves­ti­gó un caso que se­ña­la la ex­plo­ta­ción ac­ti­va de ambas de­fi­cien­cias, lo que apun­ta a que los ac­to­res ma­li­cio­sos po­drían estar com­bi­nan­do los dos erro­res para eje­cu­tar có­di­go ar­bi­tra­rio en los equi­pos vul­ne­ra­bles. Las ver­sio­nes afec­ta­das co­rres­pon­den a los mo­de­los SMA 1000 iden­ti­fi­ca­dos en el aviso, y la com­pa­ñía ha lan­za­do ver­sio­nes de co­rrec­ción con sus res­pec­ti­vos hot­fi­xes de pla­ta­for­ma.