【缝隙公告】SonicWall VPN 0day缝隙
颁布功夫 2021-01-250x00 缝隙概述
CVE ID | 时 间 | 2021-01-25 | |
类 型 | 预身份验证 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 |
0x01 缝隙详情
SonicWall是硬件防火墙设备、VPN网关和网络安全解决规划的驰名造作商，其产品重要用于SOHO、SMB、企业、服务提供商、电子商务、当局、教育和医疗机构等多个组织机构。
2021年1月22日, SonicWall颁布垂危传递，公开了其Secure Mobile Access（SMA）VPN设备及其NetExtender VPN客户端中的一个0 day缝隙，并且该缝隙在被攻击者积极利用。
Secure Mobile Access（SMA）是一个物理设备，可提供VPN接入内部网络，而NetExtender VPN客户端是一个软件客户端，用于衔接到支持VPN衔接的防火墙。
只管目前该缝隙的细节官方暂未颁布，但SonicWall暗示，能够通过在受影响的设备上启用多成分身份验证（MFA）并限度对基于白名单IP地址的设备的接见来缓解缝隙。
影响领域
NetExtender 10.x
用于衔接SMA 100系列设备和SonicWall防火墙的NetExtender VPN客户端版本10.x
SMA 10.x
在SMA 200、SMA 210、SMA 400和SMA 410物理设备及SMA 500v虚构设备上运行的Secure Mobile Access（SMA）版本10.x
调查中
SMA 100系列
0x02 措置建议
目前，该缝隙的补丁暂未颁布，建议期待官方颁布补丁并做好一时防护措施。
一时措施（合用于SMA 100系列设备或NetExtender 10.x）
对于SMA 100系列
l 设置防火墙仅允许从已知/列入白名单的IP通过SSL-VPN衔接到SMA设备。
l 直接在SMA上自行配置白名单接见权限。
参考链接：
https://www.sonicwall.com/support/knowledge-base/how-to-restrict-access-for-netextender-mobile-connect-users-based-on-policy-for-ip-address/170502499350337/
对于通过NETEXTENDER VPN客户端版本10.X拥有SSL-VPN接见的防火墙
禁用NetExtender对防火墙的接见，或通过允许列表/白名单限杜酌户和治理员对其公共IP的接见。
参考链接：
https://www.sonicwall.com/support/knowledge-base/how-do-i-configure-the-ssl-vpn-feature-for-use-with-netextender-or-mobile-connect/170505401898786/
必须在所有SONICWALL SMA、防火墙和MYSONICWALL帐户上启用MFA。
参考链接：
https://www.sonicwall.com/support/knowledge-base/how-to-configure-two-factor-authentication-using-totp-for-https-management/190201153847934/
https://www.sonicwall.com/support/knowledge-base/how-do-i-configure-2fa-for-ssl-vpn-with-ldap-and-totp/190829123329169/
https://www.sonicwall.com/support/knowledge-base/how-can-i-configure-time-based-one-time-password-totp-in-sma-100-series/180818071301745/
0x03 参考链接
https://www.sonicwall.com/support/product-notification/urgent-security-notice-netextender-vpn-client-10-x-sma-100-series-vulnerability-updated-jan-23-2021/210122173415410/
https://www.bleepingcomputer.com/news/security/sonicwall-firewall-maker-hacked-using-zero-day-in-its-vpn-device/
https://www.zdnet.com/article/sonicwall-says-it-was-hacked-using-zero-days-in-its-own-products/#ftag=RSSbaffb68
0x04 功夫线
2021-01-22 SonicWall颁布安全布告
2021-01-23 SonicWall更新安全布告
2021-01-25 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号