Krytyczna podatność typu stack-based buffer overflow w module mod_cgi serwera Apache httpd na urządzeniach SonicWall SMA 100 umożliwia zdalnemu, nieuwtierzytelnionemu atakującemu wykonanie dowolnego kodu. Brak wymogu uwierzytelnienia i najwyższy wynik CVSS (9.8) czynią tę podatność ekstremalnie niebezpieczną.
▸ Pokaż oryginał (EN)
A Stack-based buffer overflow vulnerability in SMA100 Apache httpd server's mod_cgi module environment variables allows a remote unauthenticated attacker to potentially execute code as a 'nobody' user in the appliance. This vulnerability affected SMA 200, 210, 400, 410 and 500v appliances firmware 10.2.0.8-37sv, 10.2.1.1-19sv, 10.2.1.2-24sv and earlier versions.
Podatność wynika z przepełnienia bufora na stosie (stack-based buffer overflow, CWE-121/CWE-787) poprzez zmienne środowiskowe w module mod_cgi serwera Apache httpd wbudowanego w urządzenia SMA 100. Atakujący wysyła specjalnie spreparowane żądanie HTTP do interfejsu urządzenia, powodując zapis poza granicami przydzielonego bufora na stosie. W wyniku tego możliwe jest nadpisanie adresu powrotu funkcji i przekierowanie wykonania kodu na kontrolowany przez atakującego payload, który jest uruchamiany w kontekście użytkownika 'nobody'.
Atakujący może uzyskać zdalną możliwość wykonania kodu (RCE) na podatnym urządzeniu bez jakiegokolwiek uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, kradzieży danych uwierzytelniających użytkowników VPN oraz umożliwić dalszy lateral movement w sieci ofiary.
Należy natychmiast zaktualizować firmware urządzeń SonicWall SMA 100 do wersji nowszej niż 10.2.1.2-24sv. Szczegółowe informacje o dostępnych patchach dostępne są w oficjalnym biuletynie SonicWall PSIRT (SNWLID-2021-0026). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsu zarządzającego wyłącznie do zaufanych adresów IP na poziomie firewall.
SonicWall SMA 200, SMA 210, SMA 400, SMA 410 oraz SMA 500v z firmware w wersjach 10.2.0.8-37sv, 10.2.1.1-19sv, 10.2.1.2-24sv i wcześniejszych.
Publicznie dostępny exploit (PoC) o nazwie 'badblood' opublikowany przez Rapid7 w repozytorium GitHub (jbaines-r7/badblood). Podatność została szczegółowo opisana przez Rapid7 w январе 2022 roku jako część serii CVE-2021-20038–42 dotyczących SonicWall SMA 100.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HSonicwall Sma 200
HWSonicwallwszystkie wersjeSonicwall Sma 200 Firmware
OSSonicwall10.2.0.8-37sv10.2.1.1-19sv10.2.1.2-24svSonicwall Sma 210
HWSonicwallwszystkie wersjeSonicwall Sma 210 Firmware
OSSonicwall10.2.0.8-37sv10.2.1.1-19sv10.2.1.2-24svSonicwall Sma 400
HWSonicwallwszystkie wersjeSonicwall Sma 400 Firmware
OSSonicwall10.2.0.8-37sv10.2.1.1-19sv10.2.1.2-24svSonicwall Sma 410
HWSonicwallwszystkie wersjeSonicwall Sma 410 Firmware
OSSonicwall10.2.0.8-37sv10.2.1.1-19sv10.2.1.2-24svSonicwall Sma 500v
HWSonicwallwszystkie wersjeSonicwall Sma 500v Firmware
OSSonicwall10.2.0.8-37sv10.2.1.1-19sv10.2.1.2-24sv
CISA KEV — szczegółyi
- Dostawcai
- SonicWall ↗
- Produkti
- SMA 100 Appliances
- Data dodania do KEVi
- 28 stycznia 2022
- Termin remediation (USA)i
- 11 lutego 2022(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj aktualizacje zgodnie z instrukcjami producenta.
▸ Pokaż oryginał (EN)
Apply updates per vendor instructions.
Urządzenia SonicWall SMA 100 są podatne na lukę dotyczącą przepełnienia buforu na stosie bez wymaganego uwierzytelnienia, której exploitacja może prowadzić do wykonania kodu.
▸ Pokaż oryginał (EN)
SonicWall SMA 100 devies are vulnerable to an unauthenticated stack-based buffer overflow vulnerability where exploitation can result in code execution.
Powiązane podatności
Apache HTTP Server mod_rewrite — ujawnienie kodu i RCE poprzez błędne escapowanie
SQL Injection w urządzeniach SonicWall SRA/SMA — zdalne przejęcie kontroli
SQL Injection w SonicWall SMA100 SSLVPN — dostęp do danych bez uwierzytelnienia
SonicWall SMA 100 — nieautoryzowany upload pliku prowadzący do RCE
OS Command Injection w SonicWall SRA i SMA 100 — zdalne wykonanie poleceń