CVE-2023-34137

SonicWall GMS i Analytics — pominięcie uwierzytelnienia przez statyczne wartości

CVSS 9.8v3.1pub. 2023-07-13upd. 2024-11-21

SonicWall GMS i Analytics zawierają krytyczną podatność klasy authentication bypass w aplikacji CAS Web Services, polegającą na stosowaniu statycznych wartości do uwierzytelnienia bez ich właściwej weryfikacji. Umożliwia to zdalnemu, nieuwierzytelnionemu atakującemu całkowite ominięcie mechanizmów kontroli dostępu.

▸ Pokaż oryginał (EN)

SonicWall GMS and Analytics CAS Web Services application use static values for authentication without proper checks leading to authentication bypass vulnerability. This issue affects GMS: 9.3.2-SP1 and earlier versions; Analytics: 2.5.0.4-R7 and earlier versions.

🤖 Analiza AI

Jak działa

Aplikacja CAS Web Services wchodząca w skład SonicWall GMS oraz Analytics wykorzystuje z góry zdefiniowane, statyczne wartości jako element procesu uwierzytelnienia. Brak właściwej weryfikacji tych wartości (CWE-305, CWE-287) oznacza, że atakujący może przedstawić oczekiwane statyczne dane bez posiadania prawdziwych poświadczeń. Atak nie wymaga żadnych uprawnień, interakcji użytkownika ani szczególnych warunków sieciowych, co odzwierciedla wektor CVSS AV:N/AC:L/PR:N/UI:N.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do chronionych zasobów i funkcji systemu zarządzania, co może prowadzić do pełnego przejęcia kontroli nad środowiskiem zarządzanym przez GMS lub Analytics, ujawnienia poufnych danych konfiguracyjnych oraz modyfikacji ustawień infrastruktury sieciowej.

Mitygacja

Należy jak najszybciej zaktualizować SonicWall GMS do wersji nowszej niż 9.3.2-SP1 oraz SonicWall Analytics do wersji nowszej niż 2.5.0.4-R7, stosując patche dostępne u producenta zgodnie z referencjami (SNWLID-2023-0010). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsów CAS Web Services wyłącznie do zaufanych hostów na poziomie firewall.

Kogo dotyczy

SonicWall GMS w wersji 9.3.2-SP1 i wcześniejszych; SonicWall Analytics w wersji 2.5.0.4-R7 i wcześniejszych.

Uwagi

Podatność została opublikowana przez producenta 13 lipca 2023 r. pod identyfikatorem SNWLID-2023-0010. Dotyczy wyłącznie komponentu CAS Web Services w produktach GMS i Analytics.