CVE-2019-7481
SonicWall SMA100 SQL Injection Vulnerability
Beschreibung
CVE-2019-7481 ist eine hochkritische SQL-Injection-Schwachstelle in SonicWall SMA100 (Secure Mobile Access)-Appliances. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über das Netzwerk lesenden Zugriff auf unautorisierte Ressourcen des Zielsystems zu erlangen, indem eine unsachgemäße Neutralisierung von SQL-Befehlen ausgenutzt wird. Betroffen sind SonicWall-SMA100-Firmwareversionen 9.0.0.3 und früher. CISA hat CVE-2019-7481 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 94,38 % (99,97. Perzentil) ist die Ausnutzung nahezu sicher und erfordert sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma 100 firmware | < 9.0.0.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2019-0016(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-7481(US Government Resource)
Schwachstellentyp
CWE-89: Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl ('SQL Injection')
SQL Injection tritt auf, wenn benutzergesteuerte Eingaben ohne ordnungsgemäße Sanitisierung in SQL-Abfragen eingebunden werden, was Angreifern ermöglicht, bösartigen SQL-Code einzuschleusen. Bei der SonicWall SMA100 ermöglicht diese Schwäche nicht authentifizierten Angreifern, Datenbankabfragen zu manipulieren und sensible Daten von der Appliance zu extrahieren, einschließlich Konfigurationsinformationen und Anmeldedaten, ohne jegliche Authentifizierung.
Mehr erfahren: CWE-89 — SQL Injection
Auswirkungsanalyse
CVE-2019-7481 hat einen CVSS-3.1-Score von 7,5 (HIGH) und stellt eine erhebliche Bedrohung für Organisationen dar, die SonicWall-SMA100-Appliances einsetzen. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie für jeden netzwerkzugänglichen Angreifer trivial ausnutzbar macht. Die Vertraulichkeitsauswirkung ist als HIGH eingestuft, was bedeutet, dass ein Angreifer unautorisierten Lesezugriff auf sensible Daten der Appliance erlangen kann — einschließlich potenziell zwischengespeicherter Anmeldedaten und VPN-Sitzungsinformationen. Der EPSS-Score von 94,38 % platziert diese Schwachstelle im 99,97. Perzentil, was auf nahezu sichere Ausnutzung hinweist. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, was sie zu einem prioritären Ziel für Bedrohungsakteure macht, die über VPN-Appliances initialen Zugang zu Unternehmensnetzwerken suchen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-7481 durch die Aufnahme in den KEV-Katalog bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung für Organisationen mit verwundbaren SonicWall-SMA100-Appliances erheblich erhöht. Der EPSS-Score von 94,38 % weist auf nahezu sichere Ausnutzungsaktivität hin. SonicWall-SMA-Appliances werden häufig von Bedrohungsakteuren angegriffen, da sie VPN-Zugang zu Unternehmensnetzwerken bieten, wodurch eine SQL-Injection-Schwachstelle, die die Extraktion von Anmeldedaten ermöglicht, besonders wertvoll für Erstzugangsoperationen ist.
Behebung
- Updates sofort anwenden gemäß CISA-KEV-Anforderung: Aktualisieren Sie die SonicWall-SMA100-Firmware auf Version 9.0.0.4 oder höher, die die SQL-Injection-Schwachstelle behebt.
- Überprüfen Sie, ob alle SonicWall-SMA100-Appliances in Ihrer Umgebung identifiziert und aktualisiert wurden. Konsultieren Sie die SonicWall-PSIRT-Empfehlung (SNWLID-2019-0016) für spezifische Firmware-Upgrade-Anleitungen.
- Falls eine sofortige Aktualisierung nicht möglich ist, implementieren Sie Web-Application-Firewall-(WAF)-Regeln, um SQL-Injection-Muster in Anfragen an die SMA100-Appliance zu filtern, und beschränken Sie den Verwaltungszugriff auf vertrauenswürdige IP-Bereiche mittels Netzwerksegmentierung.
- Überwachen Sie die SMA100-Appliance-Logs auf Kompromittierungsindikatoren, einschließlich ungewöhnlicher Datenbankabfragemuster, unerwarteter Datenzugriffe und unautorisierter Anmeldeversuche mit potenziell extrahierten Anmeldedaten. Prüfen Sie VPN-Sitzungslogs auf anomalen Zugriff.
- Langfristig sollten Sie sicherstellen, dass alle Datenbankinteraktionen parametrisierte Abfragen verwenden, Least-Privilege-Datenbankzugriff implementieren und regelmäßige Sicherheitsbewertungen der internetexponierten VPN-Infrastruktur durchführen.
Technische Details
CVE-2019-7481 nutzt eine SQL-Injection-Schwachstelle in SonicWall-SMA100-Firmwareversionen 9.0.0.3 und früher aus. Die Schwachstelle entsteht, weil die Anwendung Spezialelemente in benutzerseitigen Eingaben nicht ordnungsgemäß neutralisiert, bevor sie in SQL-Abfragen eingebunden werden, was einem nicht authentifizierten Angreifer ermöglicht, bösartigen SQL-Code einzuschleusen und Daten aus der zugrunde liegenden Datenbank zu extrahieren. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) bestätigt, dass die Schwachstelle netzwerkbasiert ohne Voraussetzungen ausnutzbar ist, die Auswirkung aber auf die Vertraulichkeit beschränkt ist — der Angreifer erhält Lesezugriff, nicht die Möglichkeit, Daten zu ändern oder die Verfügbarkeit zu beeinträchtigen. Trotz dieser Nur-Lese-Einschränkung können die von einer VPN-Appliance extrahierten Informationen Sitzungstoken, zwischengespeicherte Anmeldedaten und Konfigurationsdaten umfassen, die weitere Angriffe auf das Unternehmensnetzwerk ermöglichen.
Häufig gestellte Fragen
Wird CVE-2019-7481 aktiv ausgenutzt?
Ja. CVE-2019-7481 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,38 % (99,97. Perzentil) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2019-7481 betroffen?
CVE-2019-7481 betrifft SonicWall-SMA100-Appliances mit Firmwareversionen 9.0.0.3 und früher. Alle SMA100-Seriengeräte mit Firmware vor Version 9.0.0.4 sollten sofort aktualisiert werden.
Wie behebe ich CVE-2019-7481?
Aktualisieren Sie die SonicWall-SMA100-Firmware auf Version 9.0.0.4 oder höher. Konsultieren Sie die SonicWall-PSIRT-Empfehlung SNWLID-2019-0016 für detaillierte Upgrade-Anweisungen. Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die Appliance und implementieren Sie WAF-Regeln.
Wie schwerwiegend ist CVE-2019-7481?
CVE-2019-7481 hat einen CVSS-3.1-Score von 7,5 (HIGH) und einen EPSS-Score im 99,97. Perzentil. Obwohl die Schwachstelle nur Lesezugriff gewährt, können die von einer VPN-Appliance exponierten Daten Anmeldedaten und Sitzungsinformationen umfassen, und sie wird aktiv in Ransomware-Kampagnen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.