La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha recentemente aggiunto una vulnerabilità di sicurezza che interessa i dispositivi SonicWall Secure Mobile Access (SMA) 100 Series al suo catalogo di vulnerabilità note sfruttate (KEV). Questa decisione si basa su prove di sfruttamento attivo della vulnerabilità. La falla di sicurezza, identificata come CVE-2021-20035 con un punteggio CVSS di 7.2, è classificata ad alta gravità e riguarda un'iniezione di comandi di sistema operativo che potrebbe portare all'esecuzione di codice.
La vulnerabilità consente a un attaccante remoto autenticato di iniettare comandi arbitrari come utente 'nobody', potenzialmente portando all'esecuzione di codice. SonicWall ha emesso un avviso su questa problematica già nel settembre del 2021. I dispositivi interessati includono SMA 200, SMA 210, SMA 400, SMA 410 e SMA 500v (ESX, KVM, AWS, Azure) che eseguono specifiche versioni del software. Le versioni vulnerabili includono 10.2.1.0-17sv e precedenti, 10.2.0.7-34sv e precedenti e 9.0.0.10-28sv e precedenti, con correzioni disponibili nelle versioni successive.
Nonostante i dettagli esatti sullo sfruttamento della CVE-2021-20035 siano ancora sconosciuti, SonicWall ha aggiornato il bollettino per riconoscere che "questa vulnerabilità è potenzialmente sfruttata in natura". Le agenzie della Federal Civilian Executive Branch (FCEB) devono applicare le mitigazioni necessarie entro il 7 maggio 2025 per proteggere le loro reti dalle minacce attive.
In un aggiornamento recente, Arctic Wolf ha riferito di aver tracciato una campagna che mira all'accesso alle credenziali VPN sui dispositivi SonicWall SMA dall'inizio del 2025. L'attività sospettata di essere legata allo sfruttamento della CVE-2021-20035 ha rivelato l'uso di un account super admin locale (admin@LocalDomain) su questi dispositivi, con una password predefinita insicura. Questo sottolinea l'importanza di una buona igiene delle password, poiché anche i dispositivi firewall completamente patchati possono essere compromessi se gli account utilizzano credenziali deboli.
La combinazione di account compromessi e vulnerabilità come la CVE-2021-20035 può essere utilizzata per stabilire la persistenza e ampliare la portata degli attacchi. È fondamentale che le organizzazioni adottino misure di sicurezza proattive per mitigare questi rischi e proteggere le loro infrastrutture.
