CVE-2023-44221
SonicWall SMA100 Appliances OS Command Injection Vulnerability
Beschreibung
CVE-2023-44221 ist eine OS Command Injection-Schwachstelle im SSL-VPN-Management-Interface der SonicWall SMA100-Appliances. Ein remote authentifizierter Angreifer mit administrativen Privilegien kann ueber die Management-Oberflaeche beliebige Befehle als 'nobody'-Benutzer einschleusen und auf dem Betriebssystem ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.2 (HIGH) bewertet.
Die CISA hat CVE-2023-44221 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 22. Mai 2025. Der EPSS-Score von 22.34 % (96. Perzentil) zeigt eine hohe Wahrscheinlichkeit der Ausnutzung. Obwohl administrative Privilegien erforderlich sind, stellen kompromittierte Admin-Zugaenge in der Praxis ein erhebliches Risiko dar, insbesondere bei SMA100-Appliances, die als VPN-Gateways am Netzwerkrand eingesetzt werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma 200 firmware | <= 10.2.1.9-57sv |
| sonicwall | sma 210 firmware | <= 10.2.1.9-57sv |
| sonicwall | sma 400 firmware | <= 10.2.1.9-57sv |
| sonicwall | sma 410 firmware | <= 10.2.1.9-57sv |
| sonicwall | sma 500v firmware | <= 10.2.1.9-57sv |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-44221(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
CVE-2023-44221 basiert auf CWE-78 (Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')), einer der gefaehrlichsten Schwachstellenklassen in Netzwerkgeraeten. Im SMA100 SSL-VPN-Management-Interface werden Benutzereingaben nicht ordnungsgemaess neutralisiert, bevor sie an Betriebssystembefehle uebergeben werden. Ein Angreifer mit Admin-Zugang kann Shell-Metazeichen einschleusen, um zusaetzliche Befehle auf dem darunterliegenden System auszufuehren.
Weiterfuehrende Informationen: CWE-78 -- Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-44221 sind trotz der Anforderung administrativer Privilegien erheblich, da SonicWall SMA100-Appliances als VPN-Gateways eine zentrale Rolle in der Netzwerksicherheit spielen. Der Angriff ist remote ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar, erfordert jedoch hohe Privilegien (PR:H) -- ein Administrator-Konto. Keine Benutzerinteraktion ist erforderlich (UI:N). Vertraulichkeit (High): Der Angreifer kann auf sensitive Konfigurationsdaten, VPN-Zugangsdaten und durchgeleiteten Netzwerkverkehr zugreifen. Integritaet (High): Durch Befehlsausfuehrung koennen Systemdateien modifiziert, Backdoors installiert und die VPN-Konfiguration manipuliert werden. Verfuegbarkeit (High): Der Angreifer kann den VPN-Dienst stoeren oder das System lahmlegen. Der EPSS-Score von 22.34 % im 96. Perzentil unterstreicht die hohe Gefaehrdungslage.
Exploit-Reifegrad
CVE-2023-44221 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, was auf reale Angriffe gegen SonicWall SMA100-Appliances hinweist. Die Behebungsfrist wurde auf den 22. Mai 2025 festgelegt. Der EPSS-Score von 22.34 % (96. Perzentil) bestaetigt eine ueberdurchschnittlich hohe Ausnutzungswahrscheinlichkeit. SonicWall hat ein Security Advisory (SNWLID-2023-0018) veroeffentlicht. SonicWall SMA-Appliances sind ein wiederkehrendes Ziel von Bedrohungsakteuren, da sie als VPN-Gateways am Netzwerkrand exponiert sind. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
SMA100-Firmware aktualisieren: Aktualisieren Sie alle betroffenen SonicWall SMA 200, 210, 400, 410 und 500v Appliances auf eine Firmware-Version nach 10.2.1.9-57sv, die die Command Injection-Schwachstelle behebt.
-
Admin-Zugaenge ueberpruefen: Auditieren Sie alle administrativen Konten auf dem SMA100. Entfernen Sie nicht benoetigte Accounts, erzwingen Sie starke Passwoerter und aktivieren Sie Multi-Faktor-Authentifizierung (MFA) fuer den Management-Zugang.
-
Management-Interface einschraenken: Beschraenken Sie den Zugriff auf das SSL-VPN-Management-Interface auf bekannte, vertrauenswuerdige IP-Adressen. Das Management-Interface sollte niemals direkt aus dem Internet erreichbar sein.
-
Forensische Untersuchung: Da die Schwachstelle aktiv ausgenutzt wird, pruefen Sie bestehende SMA100-Instanzen auf Anzeichen einer Kompromittierung. Untersuchen Sie Management-Logs auf verdaechtige Befehle und pruefen Sie das System auf unbekannte Dateien oder Prozesse.
-
Netzwerksegmentierung: Isolieren Sie das SMA100-Management-Netzwerk vom produktiven Datenverkehr und beschraenken Sie die ausgehende Konnektivitaet der Appliance.
Technische Details
CVE-2023-44221 betrifft das SSL-VPN-Management-Interface der SonicWall SMA100-Serie. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt einen remote ausfuehrbaren Angriff mit niedriger Komplexitaet, der administrative Privilegien voraussetzt. Die Schwachstelle liegt in der unzureichenden Neutralisierung von Spezialelementen in Benutzereingaben, die an Betriebssystem-Befehle weitergereicht werden. Ein authentifizierter Administrator kann durch Einschleusen von Shell-Metazeichen (wie Semikolons, Pipes oder Ampersands) zusaetzliche Befehle anhaengen, die als 'nobody'-Benutzer ausgefuehrt werden. Obwohl die Ausfuehrung als 'nobody' die Privilegien einschraenkt, ermoeglicht sie dennoch Zugriff auf Konfigurationsdaten und Netzwerkverkehr. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt. Betroffen sind SMA 200, 210, 400, 410 und 500v mit Firmware-Versionen bis einschliesslich 10.2.1.9-57sv.
Häufig gestellte Fragen
Wird CVE-2023-44221 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-44221 in den KEV-Katalog aufgenommen, was eine bestaetigte aktive Ausnutzung belegt. Der EPSS-Score von 22.34 % im 96. Perzentil zeigt eine hohe Ausnutzungswahrscheinlichkeit. SonicWall SMA-Appliances sind ein bevorzugtes Ziel von Bedrohungsakteuren.
Welche Produkte sind von CVE-2023-44221 betroffen?
Betroffen sind SonicWall SMA 200, SMA 210, SMA 400, SMA 410 und SMA 500v mit Firmware-Versionen bis einschliesslich 10.2.1.9-57sv. Alle diese Appliances gehoeren zur SMA100-Serie und werden als SSL-VPN-Gateways eingesetzt.
Wie behebe ich CVE-2023-44221?
Aktualisieren Sie die Firmware Ihrer SMA100-Appliances auf die neueste verfuegbare Version. Beschraenken Sie zusaetzlich den Zugriff auf das Management-Interface und aktivieren Sie Multi-Faktor-Authentifizierung fuer administrative Zugaenge.
Wie schwerwiegend ist CVE-2023-44221?
Mit einem CVSS-Score von 7.2 (HIGH) ist die Schwachstelle als schwerwiegend einzustufen. Obwohl administrative Privilegien erforderlich sind, reduziert dies das Risiko in der Praxis nur bedingt, da Admin-Zugangsdaten durch Phishing oder andere Angriffe kompromittiert werden koennen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.