I cyber criminali stanno cercando attivamente di sfruttare una vulnerabilità critica dei gateway Secure Mobile Access (SMA) che SonicWall aveva già chiuso da tempo. Si tratta della falla monitorata con la sigla CVE-2021-20038, che mette a rischio la sicurezza dei prodotti SMA 200, 210, 400, 410 e 500v anche quando è abilitato il web application firewall (WAF).

Uno sfruttamento riuscito di questa vulnerabilità potrebbe consentire agli attaccanti da remoto non autenticati di eseguire codice nelle apparecchiature SonicWall compromesse. Come sempre, nonostante la disponibilità delle patch, ci sono molte aziende a rischio perché non hanno ancora provveduto all’installazione delle correzioni. E non ci sono alternative: come precisa SonicWall, “non ci sono mitigazioni temporanee”, l’unico modo per mettere in sicurezza le reti è installare gli aggiornamenti di sicurezza.

Se al momento della pubblicazione delle patch la situazione era relativamente tranquilla, ora lo scenario è completamente cambiato: ci sono le prove di tentativi attivi di sfruttamento. Non solo, gli attaccanti stanno anche scatenando attacchi di password sprying contro i dispositivi SonicWall, usando chiavi predefinite note. Significa che chi non ha provveduto a cambiare le password di amministrazione impostate in fabbrica sta correndo dei rischi inutili.

Una situazione in via di evoluzione

Per ora entrambi i fronti di attacco non hanno avuto successo, ma come insegna l’esperienza, in queste situazioni la situazione potrebbe precipitare in poche ore o addirittura minuti. Oltre all’azienda produttrice, anche gli esperti consigliano di procedere immediatamente con l’installazione della patch, per la quale è sufficiente accedere ai propri account su MySonicWall.com e aggiornare il firmware all’ultima versione disponibile.

È doveroso ricordare che i prodotti della famiglia SonicWall SMA 100 sono stati presi di mira in più campagne di hacking nel corso del 2021, e non sono mancati gli attacchi da parte gruppi ransomware. Per esempio, FiveHands sfruttò una vulnerabilità zero day per distribuire il suo ransomware. E anche HelloKitty aveva attivato una campagna ransomware che sfruttava le vulnerabilità prive di patch di alcuni prodotti SonicWall.