CVE-2023-34130

SonicWall GMS i Analytics — słabe szyfrowanie TEA z zakodowanym kluczem

CVSS 9.8v3.1pub. 2023-07-13upd. 2024-11-21

SonicWall GMS i Analytics używają przestarzałego algorytmu szyfrowania Tiny Encryption Algorithm (TEA) z kluczem zakodowanym na stałe w aplikacji do ochrony wrażliwych danych. Umożliwia to atakującemu zdalne odszyfrowanie chronionych informacji bez jakiejkolwiek autoryzacji.

▸ Pokaż oryginał (EN)

SonicWall GMS and Analytics use outdated Tiny Encryption Algorithm (TEA) with a hardcoded key to encrypt sensitive data. This issue affects GMS: 9.3.2-SP1 and earlier versions; Analytics: 2.5.0.4-R7 and earlier versions.

🤖 Analiza AI

Jak działa

Produkty SonicWall GMS i Analytics stosują algorytm TEA (Tiny Encryption Algorithm), który jest uznawany za kryptograficznie słaby i podatny na ataki. Dodatkowo klucz szyfrujący jest zakodowany na stałe (hardcoded) w oprogramowaniu, co oznacza, że każdy, kto go pozna — np. poprzez analizę kodu binarnego — może odszyfrować dane chronione tym mechanizmem. Kombinacja przestarzałego algorytmu i statycznego klucza całkowicie kompromituje poufność szyfrowanych danych. Atak może być przeprowadzony zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może uzyskać pełny dostęp do wrażliwych danych zaszyfrowanych przez podatne komponenty, co może prowadzić do naruszenia poufności, integralności oraz dostępności systemu zarządzania siecią.

Mitygacja

Należy zaktualizować SonicWall GMS do wersji nowszej niż 9.3.2-SP1 oraz SonicWall Analytics do wersji nowszej niż 2.5.0.4-R7. Szczegółowe informacje o dostępnych patchach znajdują się w biuletynie producenta: https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0010

Kogo dotyczy

SonicWall GMS (Global Management System) w wersjach 9.3.2-SP1 i wcześniejszych; SonicWall Analytics w wersjach 2.5.0.4-R7 i wcześniejszych.

Uwagi

Podatność dotyczy CWE-327 (użycie złamanego lub ryzykownego algorytmu kryptograficznego). Wada obejmuje jednocześnie słabość algorytmu TEA oraz zastosowanie klucza zakodowanego na stałe, co łącznie całkowicie eliminuje skuteczność zastosowanego szyfrowania.