CVE-2021-20038
SonicWall SMA 100 Appliances Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2021-20038 ist eine KRITISCHE nicht authentifizierte Stack-basierte Buffer-Overflow-Schwachstelle in SonicWall SMA 100 Series Appliances (Modelle SMA 200, 210, 400, 410 und 500v), die die Firmware-Versionen 10.2.0.8-37sv, 10.2.1.1-19sv und 10.2.1.2-24sv betrifft. Die Schwachstelle ermöglicht es einem entfernten nicht authentifizierten Angreifer, beliebigen Code auf der betroffenen Appliance auszuführen, indem speziell gestaltete HTTP-Anfragen gesendet werden, die einen Stack-basierten Buffer Overflow auslösen. Unter CWE-121 (Stack-based Buffer Overflow) und CWE-787 (Out-of-bounds Write) klassifiziert, hat diese Schwachstelle einen CVSS-3.1-Score von 9,8 (CRITICAL) mit einem Netzwerk-Angriffsvektor, der keine Authentifizierung und keine Benutzerinteraktion erfordert. Mit einem EPSS-Score von 0,94292 (99,9. Perzentile) gehört sie zu den am aktivsten ausgenutzten Schwachstellen im Katalog. CVE-2021-20038 ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 11. Februar 2022 gelistet und wird bestätigt mit Ransomware-Kampagnen in Verbindung gebracht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma 200 firmware | 10.2.0.8-37sv; 10.2.1.1-19sv; 10.2.1.2-24sv |
| sonicwall | sma 210 firmware | 10.2.0.8-37sv; 10.2.1.1-19sv; 10.2.1.2-24sv |
| sonicwall | sma 410 firmware | 10.2.0.8-37sv; 10.2.1.1-19sv; 10.2.1.2-24sv |
| sonicwall | sma 400 firmware | 10.2.0.8-37sv; 10.2.1.1-19sv; 10.2.1.2-24sv |
| sonicwall | sma 500v firmware | 10.2.0.8-37sv; 10.2.1.1-19sv; 10.2.1.2-24sv |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/jbaines-r7/badblood(Exploit, Third Party Advisory)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026(Vendor Advisory)
- https://www.rapid7.com/blog/post/2022/01/11/cve-2021-20038-42-sonicwall-sma-100-multiple-vulnerabilities-fixed-2/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-20038(US Government Resource)
Schwachstellentyp
CWE-121: Stack-basierter Buffer Overflow
Stack-basierter Buffer Overflow (CWE-121) ist eine kritische Schwachstellenvariante, die auftritt, wenn ein auf dem Programmstack allokierter Puffer mit Daten überschrieben wird, die seine zugewiesene Größe überschreiten. Der Stack speichert lokale Variablen, Funktionsparameter und vor allem Rücksprungadressen, die den Programmausführungsfluss steuern. Wenn ein Stack-Puffer überläuft, kann er die gespeicherte Rücksprungadresse überschreiben, wodurch ein Angreifer die Programmausführung auf angreifergesteuerten Code oder Return-Oriented Programming (ROP) Gadgets umleiten kann. Stack-Overflows gelten als besonders gefährlich, da die vorhersagbare LIFO-Struktur (Last In, First Out) des Stacks die Ausnutzung zuverlässiger macht als Heap-basierte Angriffe.
Bei CVE-2021-20038 enthält die Weboberfläche der SonicWall SMA 100 Series einen Stack-basierten Buffer Overflow in ihrem HTTP-Anfrageverarbeitungscode. Wenn die Appliance eine speziell gestaltete HTTP-Anfrage mit übergroßen Parametern empfängt, kopiert die Webserver-Komponente die Anfragedaten in einen Stack-Puffer fester Größe, ohne die Länge ordnungsgemäß zu prüfen, was den Puffer zum Überlaufen bringt. Dies überschreibt die Rücksprungadresse auf dem Stack und ermöglicht dem Angreifer die Umleitung der Ausführung auf beliebigen Code. Da die SMA 100 Appliance ein Netzwerk-Edge-Gerät ist, das nicht authentifizierte HTTP-Anfragen aus dem Internet verarbeitet, ist diese Schwachstelle direkt von jedem entfernten Angreifer ohne Anmeldedaten ausnutzbar. Erfahren Sie mehr über CWE-121 bei turingsecure.com.
Auswirkungsanalyse
CVE-2021-20038 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) mit unverändertem Scope und spiegelt den maximalen Schweregrad für eine nicht authentifizierte Remote-Code-Execution-Schwachstelle wider.
Vertraulichkeit (High): Remote Code Execution auf der SonicWall SMA Appliance gewährt dem Angreifer vollständigen Zugriff auf alle vom Gerät verarbeiteten Daten. Dies umfasst VPN-Sitzungsdaten, Benutzeranmeldedaten (sowohl lokale als auch zwischengespeicherte LDAP/Active-Directory-Anmeldedaten), VPN-Sitzungstoken, private SSL-Zertifikate und Konfigurationsdateien mit Netzwerktopologie-Informationen. Als VPN-Gateway hat die SMA Appliance Einblick in allen verschlüsselten Datenverkehr, was die Vertraulichkeitsauswirkung besonders schwerwiegend macht.
Integrität (High): Mit Code-Ausführung auf der Appliance kann ein Angreifer die Geräte-Firmware modifizieren, persistente Backdoors installieren, VPN-Routing-Regeln ändern, Inhalte in VPN-Sitzungen injizieren und Zugriffskontrollrichtlinien manipulieren. Der Angreifer kann betrügerische VPN-Konten erstellen, Authentifizierungseinstellungen ändern und Protokollierungskonfigurationen manipulieren, um seine Präsenz zu verbergen. Firmware-Level-Modifikationen können Standard-Updates und Factory-Resets überdauern.
Verfügbarkeit (High): Ein Angreifer kann die Appliance zum Absturz bringen und VPN-Dienste für alle Benutzer unverfügbar machen. Er kann auch selektiv die Konnektivität für bestimmte Benutzer oder Netzwerke deaktivieren, Ransomware auf über VPN zugänglichen Systemen einsetzen oder die kompromittierte Appliance als Ausgangspunkt für destruktive Angriffe gegen das interne Netzwerk nutzen.
Scope (Unchanged): Obwohl der CVSS-Scope unverändert ist, reicht die praktische Auswirkung weit über die Appliance selbst hinaus. Die SMA 100 ist ein Netzwerk-Perimeter-Gerät, das VPN-Zugang zum internen Netzwerk bietet. Die Kompromittierung dieses Geräts gibt dem Angreifer einen persistenten Stützpunkt am Netzwerk-Edge mit vollständiger Sichtbarkeit des VPN-Datenverkehrs. Der EPSS-Score von 0,94292 in der 99,9. Perzentile bestätigt nahezu sichere Ausnutzungsaktivität, und die bestätigte Ransomware-Assoziation erhöht das operationelle Risiko erheblich.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2021-20038 wird seit der Offenlegung im Dezember 2021 umfangreich in der Praxis ausgenutzt. CISA nahm sie am 28. Januar 2022 in den KEV-Katalog auf und bestätigte aktive Ausnutzung. SonicWall SMA Appliances sind aufgrund ihrer Internet-Exposition und des hohen Werts des VPN-Zugangs als initialer Zugriffsvektor für Unternehmensnetzwerke ein wiederkehrendes Ziel für Bedrohungsakteure.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt explizit eine Ransomware-Assoziation für CVE-2021-20038. Ransomware-Betreiber haben diese Schwachstelle ausgenutzt, um initialen Zugang zu Unternehmensnetzwerken über kompromittierte SMA Appliances zu erlangen und anschließend Ransomware im internen Netzwerk einzusetzen. Die Kombination aus nicht authentifizierter Remote Code Execution und der Position der Appliance am Netzwerk-Perimeter macht dies zu einem idealen initialen Zugriffsvektor für Ransomware-Kampagnen.
Öffentliche Exploits: Ein öffentliches Exploit-Tool namens "badblood" ist auf GitHub von jbaines-r7 verfügbar. Rapid7 veröffentlichte eine detaillierte technische Analyse in ihrem Blogpost, der die Schwachstelle und verwandte Probleme (CVE-2021-20038 bis CVE-2021-20042) dokumentiert. Die öffentliche Verfügbarkeit von Exploit-Code hat weit verbreitete Ausnutzung ermöglicht.
EPSS-Kontext: Der EPSS-Score von 0,94292 in der 99,9. Perzentile platziert diese Schwachstelle unter den am aktivsten ausgenutzten im gesamten CVE-Katalog. Dieser extreme Score spiegelt die Kombination aus öffentlich verfügbarem Exploit, nicht authentifizierter Remote-Ausnutzbarkeit, Internet-Exposition der SMA Appliances und bestätigtem Einsatz in Ransomware-Operationen wider.
KEV-Behebungsfrist: CISA legte eine Behebungsfrist auf den 11. Februar 2022 fest, nur 14 Tage nach der Katalogaufnahme, was die kritische Schwere und aktive Ransomware-Ausnutzung widerspiegelt.
Behebung
-
SonicWall-Firmware-Update sofort installieren. Installieren Sie die gepatchte Firmware gemäß SonicWalls PSIRT-Advisory (SNWLID-2021-0026) für alle SMA 200, 210, 400, 410 und 500v Appliances. Upgraden Sie auf Firmware-Version 10.2.1.3-27sv oder höher, die CVE-2021-20038 zusammen mit den verwandten Schwachstellen CVE-2021-20039 bis CVE-2021-20042 behebt.
-
Factory Reset nach dem Update durchführen, wenn Kompromittierung vermutet wird. Angesichts der bestätigten aktiven Ausnutzung und Ransomware-Assoziation: War die Appliance mit verwundbarer Firmware internet-zugänglich, behandeln Sie sie als potenziell kompromittiert. Führen Sie nach dem Firmware-Update einen Factory Reset durch und konfigurieren Sie von Grund auf neu, anstatt ein Backup wiederherzustellen, das vom Angreifer installierte Persistenzmechanismen enthalten könnte.
-
Alle über die SMA Appliance zugänglichen Anmeldedaten rotieren. Ändern Sie alle VPN-Benutzerpasswörter, widerrufen und erneuern Sie SSL-Zertifikate, rotieren Sie alle LDAP/Active-Directory-Dienstkontenanmeldedaten, die von der Appliance verwendet werden, und invalidieren Sie alle aktiven VPN-Sitzungstoken. Gehen Sie davon aus, dass alle Anmeldedaten, die durch die kompromittierte Appliance geleitet oder auf ihr gespeichert wurden, möglicherweise von einem Angreifer erfasst wurden.
-
Web Application Firewall (WAF) Regeln für die SMA-Verwaltungsschnittstelle implementieren. Setzen Sie WAF- oder IPS-Regeln ein, um übergroße HTTP-Anfrageparameter zu erkennen und zu blockieren, die auf die SMA-Weboberfläche abzielen. Dies ist kein Ersatz für Patching, bietet aber eine zusätzliche Erkennungs- und Blockierungsschicht für Ausnutzungsversuche.
-
Verwaltungszugriff auf die SMA Appliance einschränken. Stellen Sie sicher, dass die SMA-Verwaltungsschnittstelle nicht dem Internet ausgesetzt ist. Beschränken Sie den administrativen Zugriff auf ein dediziertes Management-VLAN oder nur VPN-verbundene Administratoren. Setzen Sie Multi-Faktor-Authentifizierung für jeden administrativen Zugriff auf die Appliance durch.
-
Gründliche Incident-Response-Untersuchung durchführen. Angesichts der bestätigten Ransomware-Assoziation untersuchen Sie das interne Netzwerk auf Anzeichen einer Kompromittierung, die von der SMA Appliance ausgeht. Suchen Sie nach Hinweisen auf Lateral Movement, nicht autorisierte Kontoerstellung, Ransomware-Staging, Datenexfiltration und Command-and-Control-Kommunikation. Ziehen Sie Incident-Response-Ressourcen hinzu, wenn eine Kompromittierung bestätigt oder vermutet wird.
Technische Details
CVE-2021-20038 ist eine Stack-basierte Buffer-Overflow-Schwachstelle in der Web-Management-Oberfläche der SonicWall SMA 100 Series Appliances. Die Schwachstelle existiert im HTTP-Anfrageverarbeitungscode des Appliance-Webservers, insbesondere bei der Verarbeitung bestimmter HTTP-Anfrageparameter, die ohne ordnungsgemäße Längenvalidierung in einen Stack-Puffer fester Größe kopiert werden.
Wenn die SMA Appliance eine HTTP-Anfrage mit übergroßen Parameterwerten empfängt, kopiert der Webserver die Parameterdaten in einen lokalen Stack-Puffer unter Verwendung einer unsicheren String-Kopieroperation, die nicht prüft, ob die Eingabedaten die zugewiesene Puffergröße überschreiten. Der Overflow überschreibt angrenzende Stack-Daten einschließlich der gespeicherten Rücksprungadresse, die der Prozessor verwendet, um zu bestimmen, wo die Ausführung nach Rückkehr der aktuellen Funktion fortgesetzt wird. Durch die Gestaltung der Overflow-Daten mit einer spezifischen Rücksprungadresse kann der Angreifer die Programmausführung auf beliebigen Code umleiten.
Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bewertet dies als netzwerkzugängliche Schwachstelle mit niedriger Angriffskomplexität, ohne Privilegienanforderungen und ohne Benutzerinteraktion — die gefährlichste Kombination für eine Schwachstelle in einem internet-exponierten Gerät. Der Angreifer muss lediglich eine manipulierte HTTP-Anfrage an die Weboberfläche der SMA Appliance senden, um den Overflow auszulösen und Code-Ausführung zu erreichen.
Die Grundursache ist die Verwendung unsicherer C-String-Handling-Funktionen im Webserver-Code, die keine Längenbegrenzungen beim Kopieren von HTTP-Anfrageparametern in stack-allokierte Puffer durchsetzen. Die betroffenen Firmware-Versionen (10.2.0.8-37sv, 10.2.1.1-19sv, 10.2.1.2-24sv) über alle SMA-100-Series-Modelle teilen dieselbe verwundbare Codebasis. SonicWall behob dies in Firmware-Version 10.2.1.3-27sv durch Ersetzen unsicherer String-Kopieroperationen durch grenzengeprüfte Alternativen und Hinzufügen von Eingabevalidierung für HTTP-Anfrageparameter.
Häufig gestellte Fragen
Was ist CVE-2021-20038?
CVE-2021-20038 ist eine kritische nicht authentifizierte Stack-basierte Buffer-Overflow-Schwachstelle in SonicWall SMA 100 Series VPN-Appliances (Modelle SMA 200, 210, 400, 410 und 500v). Sie ermöglicht einem entfernten Angreifer die Ausführung beliebigen Codes auf der Appliance durch Senden einer speziell gestalteten HTTP-Anfrage, ohne dass eine Authentifizierung erforderlich ist. Die Schwachstelle hat einen CVSS-3.1-Score von 9,8 (CRITICAL) und wird von CISA bestätigt als mit Ransomware-Kampagnen assoziiert.
Welche SonicWall-Produkte sind von CVE-2021-20038 betroffen?
CVE-2021-20038 betrifft alle SonicWall SMA 100 Series Appliances einschließlich SMA 200, SMA 210, SMA 400, SMA 410 und der virtuellen Appliance SMA 500v. Verwundbare Firmware-Versionen sind 10.2.0.8-37sv, 10.2.1.1-19sv und 10.2.1.2-24sv. Organisationen sollten auf Firmware-Version 10.2.1.3-27sv oder höher aktualisieren, um diese Schwachstelle zusammen mit den verwandten Problemen CVE-2021-20039 bis CVE-2021-20042 zu beheben.
Wird CVE-2021-20038 in Ransomware-Angriffen eingesetzt?
Ja, der CISA-KEV-Katalog bestätigt explizit eine Ransomware-Assoziation für CVE-2021-20038. Ransomware-Betreiber haben diese Schwachstelle ausgenutzt, um über kompromittierte SonicWall SMA Appliances initialen Zugang zu Unternehmensnetzwerken zu erlangen. Die Kombination aus nicht authentifizierter Remote Code Execution und der Internet-Exposition der Appliance macht sie zu einem idealen Einstiegspunkt für Ransomware-Kampagnen. Der EPSS-Score von 0,94292 (99,9. Perzentile) bestätigt nahezu sichere Ausnutzungsaktivität.
Wie behebe ich CVE-2021-20038?
Installieren Sie das SonicWall-Firmware-Update auf Version 10.2.1.3-27sv oder höher gemäß SonicWalls PSIRT-Advisory. War die Appliance während des Betriebs verwundbarer Firmware exponiert, führen Sie nach dem Update einen Factory Reset durch und konfigurieren Sie von Grund auf neu. Rotieren Sie alle VPN-Benutzerpasswörter, SSL-Zertifikate und Dienstkonto-Anmeldedaten. Untersuchen Sie das interne Netzwerk auf Kompromittierungsindikatoren und beschränken Sie die Verwaltungsschnittstelle auf autorisierte Netzwerke.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.