CVE-2024-40766
SonicWall SonicOS Improper Access Control Vulnerability
Beschreibung
CVE-2024-40766 ist eine kritische Improper Access Control-Schwachstelle in SonicWall SonicOS, dem Betriebssystem der SonicWall-Firewalls. Die Schwachstelle betrifft die Management-Zugriffskontrolle und kann zu unautorisiertem Ressourcenzugriff sowie unter bestimmten Umständen zum Absturz der Firewall führen. Mit einem CVSS-Score von 9.8 (CRITICAL) und der Bestätigung als Ransomware-Vektor stellt sie eine der gravierendsten Netzwerksicherheitslücken des Jahres 2024 dar. Betroffen sind SonicWall Firewall Gen 5, Gen 6 und Gen 7 Geräte mit SonicOS 7.0.1-5035 und älter.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sonicos | < 5.9.2.14-13o; < 6.5.2.8-2n; < 6.5.4.15.116n; <= 7.0.1-5035 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-40766(US Government Resource)
Schwachstellentyp
Für CVE-2024-40766 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle wird als Improper Access Control klassifiziert und betrifft die Management-Zugriffskontrolle von SonicWall SonicOS. Bei dieser Art von Schwachstelle werden Zugriffsbeschränkungen unzureichend durchgesetzt, sodass nicht autorisierte Benutzer oder Systeme auf geschützte Ressourcen zugreifen können. Im Fall von SonicWall-Firewalls bedeutet dies, dass ein Angreifer ohne Authentifizierung über das Netzwerk auf die Firewall-Verwaltungsoberfläche zugreifen und kritische Sicherheitsfunktionen manipulieren kann. Zusätzlich kann die Schwachstelle unter spezifischen Bedingungen einen Absturz der Firewall auslösen, was zu einem vollständigen Ausfall des Netzwerkschutzes führt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-40766 sind aufgrund der zentralen Rolle von Firewalls in der Netzwerksicherheit außerordentlich schwerwiegend. Vertraulichkeit: Ein Angreifer kann vollständigen Zugriff auf die Firewall-Konfiguration erlangen, einschließlich VPN-Zugangsdaten, Netzwerktopologie-Informationen und Sicherheitsrichtlinien. Integrität: Durch unautorisierten Zugriff auf die Management-Oberfläche können Firewall-Regeln manipuliert, VPN-Tunnel erstellt und Sicherheitsrichtlinien deaktiviert werden. Verfügbarkeit: Die Schwachstelle kann zum Absturz der Firewall führen, was den gesamten Netzwerkverkehr unterbrechen und das Netzwerk ungeschützt lassen kann. Der EPSS-Score von 0.03535 (87.4. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit. Besonders kritisch ist die Bestätigung als Ransomware-Vektor (Known). Ransomware-Gruppen nutzen kompromittierte Firewalls aktiv als Einstiegspunkt in Unternehmensnetzwerke, um anschließend laterale Bewegung durchzuführen und Systeme zu verschlüsseln. Die Kompromittierung einer Perimeter-Firewall gibt Angreifern direkten Zugang zum internen Netzwerk.
Exploit-Reifegrad
CVE-2024-40766 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. September 2024. Der EPSS-Score von 0.03535 liegt im 87.4. Perzentil. Besonders alarmierend ist die Bestätigung des Ransomware-Bezugs als "Known" - dies bedeutet, dass Ransomware-Gruppen diese Schwachstelle nachweislich als Einstiegspunkt für ihre Angriffe nutzen. SonicWall hat ein Security Advisory veröffentlicht, das die betroffenen Versionen und Patches detailliert beschreibt. Die Schwachstelle ist besonders attraktiv für Angreifer, da sie ohne Authentifizierung aus dem Netzwerk ausnutzbar ist (CVSS: AV:N/PR:N) und Firewalls als Perimeter-Geräte typischerweise direkt aus dem Internet erreichbar sind. Die Kombination aus kritischem CVSS-Score, bestätigter Ransomware-Nutzung und der strategischen Bedeutung von Firewalls macht diese Schwachstelle zu einer der dringendsten Bedrohungen.
Behebung
-
SonicOS-Update sofort einspielen: Aktualisieren Sie alle betroffenen SonicWall-Firewalls umgehend gemäß den Empfehlungen im SonicWall Security Advisory SNWLID-2024-0015. Für Gen 5-Geräte auf Version 5.9.2.14-13o oder höher, für Gen 6-Geräte auf 6.5.2.8-2n oder 6.5.4.15.116n oder höher, und für Gen 7-Geräte auf eine Version nach 7.0.1-5035.
-
Management-Zugriff einschränken: Beschränken Sie den Zugriff auf die SonicWall-Management-Oberfläche sofort auf vertrauenswürdige IP-Adressen. Deaktivieren Sie den WAN-seitigen Management-Zugriff und erlauben Sie Verwaltung nur über das interne Netzwerk oder einen dedizierten Management-VPN-Tunnel.
-
Kompromittierungsindikatoren prüfen: Untersuchen Sie die Firewall-Logs auf Anzeichen unbefugter Zugriffe oder Konfigurationsänderungen. Achten Sie auf unbekannte VPN-Verbindungen, geänderte Firewall-Regeln und nicht autorisierte Administrator-Sitzungen.
-
Netzwerk auf laterale Bewegung überprüfen: Da die Schwachstelle als Ransomware-Vektor bestätigt ist, sollten Sie Ihr internes Netzwerk auf Anzeichen einer Kompromittierung untersuchen. Prüfen Sie Active Directory-Logs, EDR-Meldungen und ungewöhnlichen Netzwerkverkehr.
-
Passwörter und Zugangsdaten rotieren: Ändern Sie alle Administrator-Passwörter der SonicWall-Firewalls sowie alle VPN-Zugangsdaten, die über die kompromittierten Geräte konfiguriert waren. Aktivieren Sie Multi-Faktor-Authentifizierung für den Management-Zugang.
Technische Details
Der CVSS v3.1-Vektor für CVE-2024-40766 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H mit einem Score von 9.8 (CRITICAL). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, was für Firewalls besonders kritisch ist, da sie typischerweise direkt mit dem Internet verbunden sind. Angriffskomplexität (AC:L): Keine besonderen Bedingungen erforderlich. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung notwendig, die Schwachstelle kann von jedem Netzwerkteilnehmer ausgenutzt werden. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen beschränken sich auf die Firewall selbst. Auswirkungen (C:H/I:H/A:H): Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig betroffen. Die Schwachstelle liegt in der Management-Zugriffskontrolle von SonicOS. Ein nicht authentifizierter Angreifer kann über Netzwerkzugriff die Zugriffskontrollmechanismen der Firewall-Verwaltung umgehen und unbefugten Zugriff auf geschützte Ressourcen erlangen. Unter bestimmten Bedingungen kann die Schwachstelle auch einen Absturz des Firewall-Dienstes auslösen, was zu einem Denial-of-Service-Zustand führt. Die drei betroffenen Generationen (Gen 5, Gen 6, Gen 7) verwenden unterschiedliche SonicOS-Versionen, die jeweils separat gepatcht werden müssen.
Häufig gestellte Fragen
Was ist CVE-2024-40766?
CVE-2024-40766 ist eine kritische Schwachstelle in SonicWall SonicOS, dem Betriebssystem der SonicWall-Firewalls. Sie ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf die Firewall-Verwaltung und kann zum Absturz der Firewall führen. Die Schwachstelle hat einen CVSS-Score von 9.8 und wird aktiv von Ransomware-Gruppen ausgenutzt.
Welche SonicWall-Geräte sind betroffen?
Betroffen sind SonicWall Firewall Gen 5-Geräte mit SonicOS vor 5.9.2.14-13o, Gen 6-Geräte mit SonicOS vor 6.5.2.8-2n bzw. 6.5.4.15.116n und Gen 7-Geräte mit SonicOS 7.0.1-5035 und älter. Prüfen Sie die aktuelle Firmware-Version Ihrer Geräte und gleichen Sie diese mit dem SonicWall Advisory ab.
Wird CVE-2024-40766 für Ransomware-Angriffe genutzt?
Ja, der Ransomware-Bezug ist als "Known" bestätigt. Ransomware-Gruppen nutzen diese Schwachstelle nachweislich als Einstiegspunkt, um in Unternehmensnetzwerke einzudringen. Nach der Kompromittierung der Firewall führen sie laterale Bewegung durch und verschlüsseln Systeme im internen Netzwerk.
Kann ich die Schwachstelle temporär mitigieren?
Ja, als Sofortmaßnahme sollten Sie den WAN-seitigen Management-Zugriff auf die Firewall deaktivieren und den Verwaltungszugang auf vertrauenswürdige interne IP-Adressen beschränken. Dies reduziert die Angriffsfläche erheblich, ersetzt jedoch nicht die Installation des Sicherheitsupdates.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.