CVE-2021-20035
SonicWall SMA100 Appliances OS Command Injection Vulnerability
Beschreibung
CVE-2021-20035 ist eine OS Command Injection-Schwachstelle im Management-Interface der SonicWall SMA100-Appliances. Ein remote authentifizierter Angreifer kann beliebige Befehle als 'nobody'-Benutzer einschleusen, was potenziell zu einem Denial-of-Service (DoS) fuehren kann. Die Schwachstelle wird mit einem CVSS v3.1-Score von 6.5 (MEDIUM) bewertet.
Die CISA hat CVE-2021-20035 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 7. Mai 2025. Obwohl die Schwachstelle bereits 2021 veroeffentlicht wurde, wird sie weiterhin aktiv ausgenutzt. Der EPSS-Score von 3.97 % (88. Perzentil) bestaetigt eine erhoehte Ausnutzungswahrscheinlichkeit. SonicWall SMA100-Appliances sind als VPN-Gateways am Netzwerkrand ein wiederkehrendes Ziel von Angreifern.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma 200 firmware | < 9.0.0.11-31sv; >= 10.2.0.0, < 10.2.0.8-37sv; >= 10.2.1.0, < 10.2.1.1-19sv |
| sonicwall | sma 210 firmware | < 9.0.0.11-31sv; >= 10.2.0.0, < 10.2.0.8-37sv; >= 10.2.1.0, < 10.2.1.1-19sv |
| sonicwall | sma 400 firmware | < 9.0.0.11-31sv; >= 10.2.0.0, < 10.2.0.8-37sv; >= 10.2.1.0, < 10.2.1.1-19sv |
| sonicwall | sma 410 firmware | < 9.0.0.11-31sv; >= 10.2.0.0, < 10.2.0.8-37sv; >= 10.2.1.0, < 10.2.1.1-19sv |
| sonicwall | sma 500v | < 9.0.0.11-31sv; >= 10.2.0.0, < 10.2.0.8-37sv; >= 10.2.1.0, < 10.2.1.1-19sv |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0022(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20035(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
CVE-2021-20035 basiert auf CWE-78 (Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')), einer der gefaehrlichsten Schwachstellenklassen in Netzwerkgeraeten. Im SMA100-Management-Interface werden Spezialelement in Benutzereingaben nicht ordnungsgemaess neutralisiert, bevor sie an Betriebssystembefehle uebergeben werden. Ein authentifizierter Angreifer kann Shell-Metazeichen einschleusen, um zusaetzliche Befehle auf dem darunterliegenden System auszufuehren.
Weiterfuehrende Informationen: CWE-78 -- Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-20035 konzentrieren sich laut CVSS-Bewertung auf die Verfuegbarkeit. Der Angriff ist remote ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar und erfordert niedrige Privilegien (PR:L). Keine Benutzerinteraktion ist erforderlich (UI:N). Verfuegbarkeit (High): Der Angreifer kann den VPN-Dienst stoeren oder das SMA100-System lahmlegen, was den Fernzugriff fuer alle VPN-Benutzer unterbricht. Vertraulichkeit und Integritaet sind laut CVSS nicht betroffen (C:N, I:N), obwohl die OS Command Injection als 'nobody'-Benutzer theoretisch weiterreichende Moeglichkeiten bieten koennte. Der EPSS-Score von 3.97 % im 88. Perzentil zeigt, dass diese Schwachstelle trotz ihres Alters (2021) weiterhin aktiv angegriffen wird, was auf eine hohe Verbreitung ungepatchter SMA100-Installationen hindeutet.
Exploit-Reifegrad
CVE-2021-20035 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, obwohl sie bereits 2021 veroeffentlicht wurde. Die Aufnahme in den KEV-Katalog mit einer Behebungsfrist bis zum 7. Mai 2025 zeigt, dass weiterhin aktive Angriffe stattfinden. SonicWall hat ein Security Advisory (SNWLID-2021-0022) veroeffentlicht. Der EPSS-Score von 3.97 % (88. Perzentil) bestaetigt eine erhoehte Ausnutzungswahrscheinlichkeit. SonicWall SMA-Appliances sind ein wiederkehrendes Ziel von Bedrohungsakteuren, und die Tatsache, dass diese ueber vier Jahre alte Schwachstelle weiterhin ausgenutzt wird, unterstreicht das Problem ungepatchter Systeme am Netzwerkrand. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
SMA100-Firmware aktualisieren: Aktualisieren Sie alle betroffenen SonicWall SMA 200, 210, 400, 410 und 500v Appliances auf die gepatchten Versionen: mindestens 9.0.0.11-31sv, 10.2.0.8-37sv oder 10.2.1.1-19sv, je nach eingesetzter Firmware-Linie.
-
Patch-Status ueberpruefen: Da die Schwachstelle bereits seit 2021 bekannt ist, aber weiterhin ausgenutzt wird, fuehren Sie eine Bestandsaufnahme aller SMA100-Installationen durch und verifizieren Sie den aktuellen Firmware-Stand.
-
Management-Interface einschraenken: Beschraenken Sie den Zugriff auf das SMA100-Management-Interface auf vertrauenswuerdige IP-Adressen. Das Management-Interface sollte nicht direkt aus dem Internet erreichbar sein.
-
Forensische Untersuchung bei alten Installationen: Wenn Ihre SMA100-Appliances laengere Zeit mit verwundbarer Firmware betrieben wurden, fuehren Sie eine forensische Untersuchung durch. Pruefen Sie Logs auf Command-Injection-Muster und suchen Sie nach Anzeichen einer Kompromittierung.
-
VPN-Zugangskontrollen verstaerken: Implementieren Sie Multi-Faktor-Authentifizierung fuer alle VPN-Benutzer und ueberpruefen Sie regelmaessig die Benutzerkonten auf nicht autorisierte Zugaenge.
Technische Details
CVE-2021-20035 betrifft das Management-Interface der SonicWall SMA100-Serie. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H zeigt einen remote ausfuehrbaren Angriff mit niedriger Komplexitaet und niedrigen Privilegien, der ausschliesslich die Verfuegbarkeit beeintraechtigt. Die Schwachstelle liegt in der unzureichenden Neutralisierung von Spezialelementen im Management-Interface, die es einem authentifizierten Benutzer ermoeglicht, Befehle als 'nobody'-Benutzer auf dem Betriebssystem einzuschleusen. Die Beschraenkung auf den 'nobody'-Benutzer und die reine Verfuegbarkeitsauswirkung im CVSS deuten darauf hin, dass die eingeschleusten Befehle eingeschraenkte Privilegien haben, aber ausreichen, um den Dienst zu stoeren. Betroffen sind SMA 200, 210, 400, 410 und 500v in drei Firmware-Linien: vor 9.0.0.11-31sv, 10.2.0.0 bis vor 10.2.0.8-37sv und 10.2.1.0 bis vor 10.2.1.1-19sv.
Häufig gestellte Fragen
Wird CVE-2021-20035 aktiv ausgenutzt?
Ja, die CISA hat CVE-2021-20035 trotz der Veroeffentlichung im Jahr 2021 erst kuerzlich in den KEV-Katalog aufgenommen, was auf andauernde aktive Ausnutzung hinweist. Der EPSS-Score von 3.97 % im 88. Perzentil bestaetigt die erhoehte Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-20035 betroffen?
Betroffen sind SonicWall SMA 200, SMA 210, SMA 400, SMA 410 und SMA 500v in drei Firmware-Linien: vor 9.0.0.11-31sv, 10.2.0.0 bis vor 10.2.0.8-37sv sowie 10.2.1.0 bis vor 10.2.1.1-19sv.
Wie behebe ich CVE-2021-20035?
Aktualisieren Sie die Firmware Ihrer SMA100-Appliances auf die gepatchte Version fuer Ihre Firmware-Linie. Beschraenken Sie den Zugriff auf das Management-Interface und fuehren Sie eine forensische Untersuchung durch, falls die Appliance laengere Zeit ungepatcht betrieben wurde.
Wie schwerwiegend ist CVE-2021-20035?
Mit einem CVSS-Score von 6.5 (MEDIUM) erscheint die Schwachstelle moderat. Die andauernde aktive Ausnutzung ueber vier Jahre nach Veroeffentlichung zeigt jedoch, dass viele Installationen weiterhin verwundbar sind. Die Schwachstelle kann den VPN-Zugang fuer eine gesamte Organisation stoeren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.