CVE-2024-53704
SonicWall SonicOS SSLVPN Improper Authentication Vulnerability
Beschreibung
CVE-2024-53704 ist eine kritische Sicherheitslücke (CVSS 9.8 CRITICAL) im SonicWall SonicOS SSLVPN-Authentifizierungsmechanismus. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, die Authentifizierung vollständig zu umgehen und remote auf das VPN-System zuzugreifen. Betroffen sind SonicOS-Versionen 7.1.1-7040 bis 7.1.1-7058, 7.1.2-7019 und 8.0.0-8035. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, und der EPSS-Score von 0.93864 (99.9. Perzentil) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sonicos | >= 7.1.1-7040, <= 7.1.1-7058; 7.1.2-7019; 8.0.0-8035 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0003(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-53704(US Government Resource)
Schwachstellentyp
Fehlerhafte Authentifizierung im SSLVPN
Die Schwachstelle basiert auf einer fehlerhaften Authentifizierung (Improper Authentication) im SSLVPN-Mechanismus von SonicWall SonicOS. Bei dieser Art von Schwachstelle werden die Authentifizierungsprüfungen so fehlerhaft implementiert, dass ein Angreifer sie vollständig umgehen kann. Im konkreten Fall kann ein Remote-Angreifer ohne gültige Anmeldedaten die SSLVPN-Authentifizierung von SonicOS überwinden und sich unbefugten Zugang zum VPN-Netzwerk verschaffen. Mehr erfahren: CWE-287 auf MITRE
Auswirkungsanalyse
SonicWall-Firewalls und VPN-Appliances werden weltweit von kleinen und mittelständischen Unternehmen sowie Konzernen zum Schutz ihrer Netzwerke und für sicheren Remote-Zugriff eingesetzt. Vertraulichkeit (C:H) — Ein Angreifer, der die SSLVPN-Authentifizierung umgeht, erhält Zugriff auf das gesamte interne Netzwerk, einschließlich aller Ressourcen, die über das VPN erreichbar sind: Dateiserver, interne Anwendungen, Datenbanken und sensible Geschäftsdaten. Integrität (I:H) — Der unbefugte VPN-Zugang ermöglicht die Manipulation interner Systeme, das Einschleusen von Malware und die Veränderung von Daten. Verfügbarkeit (A:H) — Die vollständige Kompromittierung kann zur Lahmlegung des gesamten Netzwerks führen, einschließlich Denial-of-Service durch Ransomware-Verschlüsselung. Besonders kritisch ist der bestätigte Einsatz in Ransomware-Kampagnen (Status: Known). Dies bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv als initialen Zugangsvektor nutzen, um in Unternehmensnetzwerke einzudringen, laterale Bewegung durchzuführen und anschließend Daten zu verschlüsseln. Der EPSS-Score von 93.86% (99.9. Perzentil) unterstreicht die extreme Dringlichkeit der Behebung.
Exploit-Reifegrad
CVE-2024-53704 weist eine extrem hohe Exploit-Reife auf. Die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 11. März 2025. Der EPSS-Score von 0.93864 platziert sie im 99.9. Perzentil — sie gehört damit zu den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Der kritischste Faktor ist der bestätigte Ransomware-Status "Known", was bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv in ihren Kampagnen einsetzen. Die maximale CVSS-Bewertung von 9.8 in Kombination mit fehlender Authentifizierungsanforderung (PR:N), keiner Benutzerinteraktion (UI:N) und niedriger Angriffskomplexität (AC:L) macht die Ausnutzung trivial. SSLVPN-Dienste sind typischerweise aus dem Internet erreichbar, was die Angriffsfläche massiv vergrößert. Unternehmen, die die Behebung verzögern, setzen sich einem unmittelbaren Ransomware-Risiko aus.
Behebung
-
SonicOS umgehend aktualisieren — Installieren Sie die gepatchte SonicOS-Version gemäß dem SonicWall Security Advisory SNWLID-2025-0003. Aufgrund des bestätigten Ransomware-Einsatzes hat diese Aktualisierung höchste Priorität.
-
SSLVPN-Zugang temporär deaktivieren — Falls das Update nicht sofort eingespielt werden kann, deaktivieren Sie den SSLVPN-Zugang als Sofortmaßnahme. Evaluieren Sie alternative sichere Fernzugriffslösungen für die Übergangszeit.
-
Kompromittierungsindikatoren prüfen — Untersuchen Sie VPN-Logs auf verdächtige Anmeldeaktivitäten, unbekannte VPN-Sessions und ungewöhnliche Zugriffsmuster. Angesichts des Ransomware-Risikos sollten Sie auch nach Anzeichen lateraler Bewegung im Netzwerk suchen.
-
Incident-Response-Bereitschaft sicherstellen — Stellen Sie sicher, dass Ihr Incident-Response-Team einsatzbereit ist, aktuelle Backups verifiziert sind und ein Ransomware-Notfallplan existiert. Testen Sie die Wiederherstellungsfähigkeit Ihrer Systeme.
-
Netzwerksegmentierung verstärken — Überprüfen und verstärken Sie die Netzwerksegmentierung, um die laterale Bewegung eines Angreifers einzuschränken, falls die SSLVPN-Schwachstelle bereits ausgenutzt wurde. Implementieren Sie Zero-Trust-Prinzipien für den VPN-Zugang.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine maximal kritische Schwachstelle. Angriffsvektor (AV:N) — Die Ausnutzung erfolgt remote über das Netzwerk, typischerweise direkt über den aus dem Internet erreichbaren SSLVPN-Dienst. Angriffskomplexität (AC:L) — Keine besonderen Vorbedingungen oder Techniken erforderlich. Erforderliche Berechtigungen (PR:N) — Keine Authentifizierung notwendig, der Angreifer benötigt keine Anmeldedaten. Benutzerinteraktion (UI:N) — Keine Benutzerinteraktion erforderlich, vollständig automatisierbar. Scope (S:U) — Auswirkungen auf das betroffene System beschränkt. Auswirkungen — Maximale Bewertung in allen drei Kategorien (C:H, I:H, A:H), was einer vollständigen Systemübernahme entspricht. Der Angriffsmechanismus nutzt eine fehlerhafte Implementierung des SSLVPN-Authentifizierungsmechanismus in SonicWall SonicOS aus. Ein Remote-Angreifer kann durch speziell konstruierte Anfragen an den SSLVPN-Dienst die Authentifizierungsprüfung vollständig umgehen. Nach erfolgreichem Bypass erhält der Angreifer die gleichen Zugriffsrechte wie ein legitimerweise authentifizierter VPN-Benutzer, was den vollständigen Zugriff auf das interne Netzwerk ermöglicht. Die betroffenen Versionen sind SonicOS 7.1.1-7040 bis 7.1.1-7058, 7.1.2-7019 und 8.0.0-8035.
Häufig gestellte Fragen
Was ist CVE-2024-53704?
CVE-2024-53704 ist eine kritische Authentifizierungsbypass-Schwachstelle im SSLVPN-Dienst von SonicWall SonicOS. Sie ermöglicht es einem nicht authentifizierten Angreifer, die VPN-Authentifizierung zu umgehen und vollständigen Zugriff auf das interne Netzwerk zu erlangen.
Wird CVE-2024-53704 in Ransomware-Angriffen verwendet?
Ja, der Ransomware-Status ist als "Known" bestätigt. Ransomware-Gruppen nutzen diese Schwachstelle aktiv als initialen Zugangsvektor, um in Unternehmensnetzwerke einzudringen. Dies macht die sofortige Behebung besonders dringlich.
Welche SonicOS-Versionen sind betroffen?
Betroffen sind SonicOS 7.1.1-7040 bis 7.1.1-7058, Version 7.1.2-7019 und Version 8.0.0-8035. Wenn Ihr SSLVPN-Dienst auf einer dieser Versionen läuft, sind Sie verwundbar und sollten umgehend aktualisieren.
Was sollte ich tun, wenn mein SonicWall-Gerät bereits kompromittiert wurde?
Trennen Sie das Gerät umgehend vom Netzwerk und aktivieren Sie Ihren Incident-Response-Plan. Prüfen Sie alle Systeme im Netzwerk auf Kompromittierungsindikatoren. Kontaktieren Sie einen spezialisierten Incident-Response-Dienstleister und informieren Sie gegebenenfalls die zuständigen Behörden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.