SonicWall ha divulgado recientemente una vulnerabilidad crítica de omisión de autenticación en SonicOS, el sistema operativo que impulsa muchos de sus dispositivos compatibles con SSLVPN. La vulnerabilidad, CVE-2024-53704, permite a atacantes remotos no autenticados secuestrar sesiones VPN activas, omitiendo las medidas de autenticación, incluido el uso de autenticación de múltiples factores (MFA), para obtener acceso no autorizado a las redes internas.

Los investigadores de seguridad han confirmado el problema y desarrollado un exploit de prueba de concepto (PoC) que demuestra el secuestro de sesiones mediante un fallo en el análisis base64 de las cookies de sesión SSLVPN.

Producto	SonicWall SSL VPN
Fecha	2025-02-04 08:14:03
Información	En tendencia Corrección disponible

Resumen técnico

CVE-2024-53704 es una vulnerabilidad de secuestro de sesión que deriva de una validación débil en el proceso de autenticación de SSLVPN de SonicWall. El fallo permite a los atacantes utilizar el servidor SSLVPN como un oráculo ciego booleano para forzar mediante ataques de fuerza bruta cookies de sesión válidas sin necesidad de credenciales legítimas.

El ataque se desarrolla de la siguiente manera:

1. Adivinar un ID de sesión parcial y rellenarlo con caracteres nulos.
2. Calcular una suma de verificación (checksum) válida para la sesión parcial.
3. Codificar el payload en base64 y enviarlo al endpoint /api/v1/client/sessionstatus.
4. Analizar la respuesta del servidor para confirmar sesiones válidas.
5. Repetir el proceso para forzar mediante fuerza bruta el ID de sesión completo.
6. Utilizar un cliente VPN de código abierto, como nxBender, para secuestrar la sesión y obtener acceso.

Una vez que una sesión válida ha sido secuestrada, el atacante puede establecer una conexión persistente y moverse lateralmente dentro de la red.

Recomendaciones

Las organizaciones que utilizan dispositivos SonicWall compatibles con SSLVPN afectados deben:

• Aplicar inmediatamente la actualización de firmware más reciente, como SonicOS 7.1.3-7015, que corrige el defecto en la validación de la sesión.
• Monitorear las sesiones VPN activas en busca de actividad sospechosa y forzar la desconexión de todas las sesiones activas después de aplicar el parche.
• Implementar políticas de caducidad de sesiones para reducir el riesgo de secuestro de sesiones de larga duración.
• Habilitar el monitoreo y registro adicional para detectar intentos de acceso no autorizados.
• Considerar limitar el acceso VPN a direcciones IP conocidas o dispositivos de confianza siempre que sea posible.

[Callforaction-THREAT-Footer]