SonicOS, il sistema operativo presente su molti dispositivi SonicWall Network Security Appliance (NSA), è soggetto a una grave vulnerabilità che può causare un Denial of Service e il crash dei dispositivi. L'allerta è alta perché secondo gli esperti "è fattibile un exploit di code execution".

La divulgazione della vulnerabilità da parte dei ricercatori per la sicurezza di Tripwire VERT arriva a due giorni dalla pubblicazione della patch da parte di SonicWall, che è da installare con altissima priorità. Il nome assegnato alla vulnerabilità è CVE-2020-5135 e interessa quasi 800.000 appliance VPN SonicWall che vengono utilizzate come firewall e portali VPN SSL per consentire ai dipendenti di accedere alle reti interne e private.

È considerato un bug critico, con un punteggio CVSS di 9,4 su 10. Gli esperti reputano che una volta reso pubblico il codice proof-of-concept, verrà fruttato in men che non si dica.

A quanto si apprende dalle fonti, il bug riguarda un componente che gestisce i protocolli personalizzati e che è esposto sull'interfaccia WAN (Internet pubblico). In altre parole, qualsiasi cyber criminale può sfruttarlo, purché sia a conoscenza dell'indirizzo IP del dispositivo.

Proprio su questo frangente arriva la notizia peggiore: secondo Tripwire anche attaccanti con una preparazione tecnica di basso livello possono sfruttare il bug. L'azienda di cyber security ha calcolato che ci sono 795.357 VPN SonicWall collegati online suscettibili a questa vulnerabilità.

In particolare, si tratta di tutti i dispositivi che hanno installato le seguenti release del sistema operativo SonicOS: 6.5.4.7-79n e precedenti, 6.5.1.11-4n e antecedenti, 6.0.5.3-93o e precedenti, 6.5.4.4-44v-21-794 e antecedenti e SonicOS 7.0.0.0-1.

Le versioni che sono state aggiornate sono: SonicOS 6.5.4.7-83n, 6.5.1.12-1n, 6.0.5.3-94o, 6.5.4.v-21s-987 e Gen 7 7.0.0.0-2 e successive.

Aggiornamento: Gli stessi ricercatori di Tripwire reputano che questa patch non sia ottimale e definitiva, e che necessiti di una "correzione a una o due linee" per essere completata. Restiamo in attesa di aggiornamenti.