CVE-2021-20021
SonicWall Email Security Improper Privilege Management Vulnerability
Beschreibung
CVE-2021-20021 ist eine kritische Schwachstelle in der Rechteverwaltung von SonicWall Email Security Version 10.0.9.x. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, durch das Senden einer speziell gestalteten HTTP-Anfrage ein Administratorkonto zu erstellen und damit die vollständige Kontrolle über die E-Mail-Sicherheitsappliance zu erlangen. CISA hat CVE-2021-20021 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung bestätigt. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 91,74 % (99,68. Perzentil) ist die Ausnutzung nahezu sicher. Die Schwachstelle wird häufig in Kombination mit CVE-2021-20022 und CVE-2021-20023 ausgenutzt, um eine vollständige Rechteeskalation und Datenexfiltration auf SonicWall-Email-Security-Appliances zu erreichen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | email security | < 10.0.9.6103 |
| sonicwall | email security appliance 9000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 3300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 4300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 8300 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 5000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 7000 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 5050 firmware | < 10.0.9.6105 |
| sonicwall | email security appliance 7050 firmware | < 10.0.9.6105 |
| sonicwall | email security virtual appliance | < 10.0.9.6105 |
| sonicwall | hosted email security | < 10.0.9.6103 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0007(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20021(US Government Resource)
Schwachstellentyp
CWE-269: Unsachgemäße Rechteverwaltung
Unsachgemäße Rechteverwaltung tritt auf, wenn ein Produkt Rechte für Akteure nicht ordnungsgemäß zuweist, ändert, verfolgt oder prüft. Im Fall von SonicWall Email Security ermöglicht diese Schwäche einem nicht authentifizierten Angreifer, Rechteprüfungen vollständig zu umgehen und über eine gestaltete HTTP-Anfrage ein Administratorkonto zu erstellen, was unautorisierten Vollzugriff auf die Appliance gewährt.
Mehr erfahren: CWE-269 — Unsachgemäße Rechteverwaltung
Auswirkungsanalyse
CVE-2021-20021 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und stellt damit eine der schwerwiegendsten möglichen Bedrohungsbewertungen dar. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie für jeden netzwerkzugänglichen Angreifer trivial ausnutzbar macht. Eine erfolgreiche Ausnutzung führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, da der Angreifer die vollständige administrative Kontrolle über die SonicWall-Email-Security-Appliance erlangt. Der EPSS-Score von 91,74 % platziert diese Schwachstelle im 99,68. Perzentil, was auf nahezu sichere aktive Ausnutzung hinweist. Kritischerweise wird diese Schwachstelle nachweislich in Ransomware-Kampagnen eingesetzt und wird häufig mit CVE-2021-20022 (beliebiger Datei-Upload) und CVE-2021-20023 (Path Traversal) verkettet, um eine vollständige Systemkompromittierung zu erreichen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-20021 durch die Aufnahme in den KEV-Katalog bestätigt, mit einer Behebungsfrist bis zum 17.11.2021. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung erheblich erhöht. Der EPSS-Score von 91,74 % weist auf nahezu sichere Ausnutzungsaktivität hin. In Kombination mit CVE-2021-20022 (uneingeschränkter Datei-Upload) und CVE-2021-20023 (Path Traversal) können Angreifer diese drei Schwachstellen verketten, um zunächst ein Administratorkonto zu erstellen, dann eine schädliche Datei wie eine Web-Shell hochzuladen und schließlich sensible Dateien vom System zu lesen — eine vollständige Angriffskette für persistente Kompromittierung.
Behebung
- Updates sofort anwenden gemäß CISA-KEV-Anforderung: Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6103 oder höher für virtuelle Bereitstellungen und auf Version 10.0.9.6105 oder höher für Hardware-Appliances (Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300, 9000).
- Überprüfen Sie, ob alle SonicWall-Email-Security-Instanzen in Ihrer Umgebung identifiziert und gepatcht wurden. Beheben Sie auch die verwandten Schwachstellen CVE-2021-20022 und CVE-2021-20023, die häufig in Kombination ausgenutzt werden.
- Falls eine sofortige Aktualisierung nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die SonicWall-Email-Security-Verwaltungsoberfläche auf vertrauenswürdige administrative Netzwerke. Implementieren Sie IP-basierte Zugriffskontrolllisten und deaktivieren Sie alle unnötigen extern zugänglichen Verwaltungsports.
- Überwachen Sie die SonicWall-Email-Security-Logs auf Kompromittierungsindikatoren, einschließlich unerwarteter Administratorkonto-Erstellung, ungewöhnlicher HTTP-Anfragemuster an Verwaltungsendpunkte und Anzeichen von Web-Shell-Bereitstellung oder unautorisiertem Dateizugriff.
- Implementieren Sie eine robuste rollenbasierte Zugriffskontrolle und erzwingen Sie serverseitige Rechtevalidierung für alle administrativen Operationen. Führen Sie eine gründliche Post-Incident-Analyse durch, um festzustellen, ob die Schwachstelle vor der Aktualisierung ausgenutzt wurde.
Technische Details
CVE-2021-20021 nutzt einen Fehler in der Rechteverwaltung von SonicWall Email Security Version 10.0.9.x aus, bei dem die Anwendung Rechteanforderungen nicht ordnungsgemäß validiert, bevor Anfragen zur Erstellung administrativer Konten verarbeitet werden. Ein nicht authentifizierter Angreifer kann eine gestaltete HTTP-Anfrage an die Verwaltungsoberfläche senden, die Authentifizierungsprüfungen umgeht und zur Erstellung eines neuen Administratorkontos führt. Der CVSS-Vektorstring (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass es sich um eine netzwerkbasiert ausnutzbare Schwachstelle ohne Voraussetzungen handelt — keine Authentifizierung, keine Benutzerinteraktion und geringe Komplexität — die zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führt. Die Schwachstelle betrifft mehrere SonicWall-Produkte, darunter Email Security Software, Hosted Email Security und alle Hardware-Appliance-Modelle (3300, 4300, 5000, 5050, 7000, 7050, 8300, 9000) mit Firmware vor Version 10.0.9.6105.
Häufig gestellte Fragen
Wird CVE-2021-20021 aktiv ausgenutzt?
Ja. CVE-2021-20021 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 91,74 % (99,68. Perzentil) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2021-20021 betroffen?
CVE-2021-20021 betrifft SonicWall Email Security Version 10.0.9.x, einschließlich der Software-Version (vor 10.0.9.6103), Hosted Email Security (vor 10.0.9.6103), Email Security Virtual Appliance (vor 10.0.9.6105) sowie alle Hardware-Appliance-Modelle 3300, 4300, 5000, 5050, 7000, 7050, 8300 und 9000 (vor Firmware 10.0.9.6105).
Wie behebe ich CVE-2021-20021?
Aktualisieren Sie SonicWall Email Security auf Version 10.0.9.6103 oder höher für Software- und Hosted-Bereitstellungen und auf Version 10.0.9.6105 oder höher für Hardware-Appliances. Patchen Sie auch die verwandten verketteten Schwachstellen CVE-2021-20022 und CVE-2021-20023.
Wie schwerwiegend ist CVE-2021-20021?
CVE-2021-20021 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und einen EPSS-Score im 99,68. Perzentil. Die Schwachstelle ermöglicht die unautorisierte Erstellung von Administratorkonten und wird nachweislich in Ransomware-Angriffen ausgenutzt, was sie zu einer der dringendsten zu behebenden Schwachstellen macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.