Bulletin d'alerte du CERT-FR
Objet : |MàJ] Vulnérabilité dans SonicWall SMA100
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- SMA 200, SMA 210, SMA 400 et SMA 410 versions 10.x antérieures à 10.2.0.6-32sv
- SMA 200, SMA 210, SMA 400 et SMA 410 versions 9.x antérieures à 9.0.0.10-28sv
- SMA 500v (Azure, AWS, ESXi, HyperV) versions 10.x antérieures à 10.2.0.6-32sv
- SMA 500v (Azure, AWS, ESXi, HyperV) versions 9.x antérieures à 9.0.0.10-28sv
Résumé
[Mise à jour du 30 avril 2021]
Le 29 avril 2021, dans un billet de blogue (cf. section Documentation), FireEye fait état de l'exploitation de la vulnérabilité CVE-2021-20016 par un groupe criminel dans le but de déployer plusieurs rançongiciels à l'encontre de différentes entités en Europe et en Amérique du Nord.
[Mise à jour du 22 février 2021]
Le 19 février 2021, SonicWall a publié un nouveau correctif pour les versions 10.x, mais aussi pour les versions 9.x non concernées par la vulnérabilité CVE-2021-20016 (cf. section Documentation).
Dans son communiqué, SonicWall indique que ce correctif contient, sans les préciser, des mesures de durcissement du code et invite ses clients à l'installer immédiatement.
[Mise à jour du 04 février 2021]
Le 03 février 2021, SonicWall a publié un correctif pour la vulnérabilité qui porte désormais l'identifiant CVE-2021-20016. Cette vulnérabilité permet à un attaquant non authentifié d'obtenir les informations de connexions, y compris celles des comptes administrateurs. L'attaquant peut alors prendre complètement la main sur l'équipement.
Cette nouvelle précision confirme qu'il est obligatoire de changer tous les mots de passe une fois le correctif appliqué.
[Publication initiale]
Le 01 février 2021, SonicWall a confirmé l'existence d'une vulnérabilité de type 0 jour dans leurs passerelles d'accès sécurisé SMA séries 100. Celle-ci affecte uniquement les versions 10.x.
Les risques liés à cette vulnérabilité ne sont pas précisés, mais sont jugés comme critiques par SonicWall.
SonicWall annonce la sortie d'un correctif pour le 02 février 2021 en fin de journée ou pour le début de matinée du 03 février 2021 en France.
A noter: Indépendamment de cet évènement, un code d'attaque exploitant la vulnérabilité CVE-2014-6271 (nommée Shellshock) présente dans les versions antérieures à 8.0.0.4 a été publié sur internet. Il est donc impératif de s'assurer que vous ne disposez plus d'équipements dans ces versions. Toutefois, les produits SMA séries 100 versions 9.x et 10.x ne sont pas vulnérables à la CVE-2014-6271.
Contournement provisoire
En attendant la sortie du correctif, SonicWall propose plusieurs mesures de contournement:
- Changer tous les mots de passe et activer l'authentification multi-facteurs ;
- Bloquer l'accès à l’équipement par un pare-feu ;
- Éteindre l'équipement ;
- Installer une version 9.x après avoir effectué une sauvegarde de ses réglages puis une réinitialisation aux paramètres d'usine.
Le CERT-FR précise que le simple fait de changer un mot de passe n'a pas d'utilité particulière dans le cas où un attaquant peut toujours exploiter une vulnérabilité et éventuellement contourner les mécanismes d'authentification.
Le renouvellement des mots de passe est toutefois conseillé, une fois les correctifs appliqués ou à défaut une fois les autres mesures de contournement mises en œuvre.
L'authentification multi-facteurs fait partie des bonnes pratiques et est toujours conseillée lorsque celle-ci est disponible.
Solution
Le CERT-FR recommande l'application du correctif de sécurité dans les plus brefs délais, la modification de tous les mots de passe ainsi que l'activation de l'authentification multi-facteurs.
Pour plus de renseignements, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité SonicWall SNWLID-2021-0001 du 23 janvier 2021
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001 -
Communiqué SonicWall du 01 février 2021
https://www.sonicwall.com/support/product-notification/urgent-security-notice-sonicwall-confirms-sma-100-series-10-x-zero-day-vulnerability-feb-1-2-p-m-cst/210122173415410/ -
Avis du CERT-FR CERTFR-2021-AVI-083 du 04 février 2021
/avis/CERTFR-2021-AVI-083/ -
Billet de blogue FireEye du 29 avril 2021
https://www.fireeye.com/blog/threat-research/2021/04/unc2447-sombrat-and-fivehands-ransomware-sophisticated-financial-threat.html -
Communiqué SonicWall du 19 février 2021
https://www.sonicwall.com/support/product-notification/additional-sma-100-series-10-x-and-9-x-firmware-updates-required-updated-feb-19-2-p-m-cst/210122173415410/ -
Référence CVE CVE-2014-6271
https://www.cve.org/CVERecord?id=CVE-2014-6271 -
Référence CVE CVE-2021-20016
https://www.cve.org/CVERecord?id=CVE-2021-20016
Gestion détaillée du document
| Date | Description |
|---|---|
| 02 février 2021 | Version initiale |
| 04 février 2021 | Disponibilité du correctif, ajout de l'identifiant CVE, obligation de changer les mots de passe. |
| 22 février 2021 | Ajout du communiqué SonicWall du 19 février 2021. |
| 11 mars 2021 | Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante. |
| 30 avril 2021 | Ajout du billet de blogue FireEye du 29 avril 2021. |
| 12 mai 2021 | Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante. |