L’Agenzia per la Cybersicurezza Nazionale (ACN) si è concentrata sullo sfruttamento attivo in rete della vulnerabilità CVE-2021-20035 che interessa i dispositivi SonicWall della serie SMA 100. In questi termini, ponendo l’accento sui rischi del tema, si sono tracciate delle linee guida per mitigare il problema.
Le vulnerabilità
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha studiato lo sfruttamento attivo in rete della vulnerabilità CVE-2021-20035 che interessa i dispositivi SonicWall della serie SMA 100. Questo tema si ricollega alle aziende che si appoggiano a degli enti terzi come fornitore di servizi.
Tant’è che la serie SMA (prodotti Secure Mobile Access) di SonicWall si riferisce a quei prodotti che forniscono accesso sicuro remoto alle risorse aziendali, ad ogni livello. In quest’ottica, si è parlato di vulnerabilità come di un vettore nell’ambito di una campagna mirata all’accesso abusivo, tramite credenziali specifiche.
Gli stessi ricercatori della SonicWall hanno descritto come la minaccia – comparsa nel 2021 – si è nel tempo aggiornata. Da potenziale Denial-of-Service (DoS) si è infatti modificata in Remote Code Execution (RCE).
I limiti degli accessi
La criticità che gli esperti hanno riscontrato può arrivare, in primo luogo, a stabilire la persistenza sul sistema e nel contempo ampliare la portata del proprio attacco. Precisamente, la chiave di questa serie di azioni è nell’utilizzo dell’account superadmin “admin@LocalDomain”, profilo generato in automatico durante le prime fasi di installazione del sistema e che utilizza la password predefinita “password”.
La stessa Agenzia ha sottolineato: “Si evidenzia che il rischio di compromissione rimane elevato in presenza di credenziali predefinite non modificate o di password deboli. Il tutto, nonostante l’aggiornamento dei dispositivi SonicWall SMA risolva la vulnerabilità CVE-2021-20035“.
Azioni di mitigazione
In linea con le parole dei venditori, l’ACN ha pubblicato alcune linee guida, raccomandazioni che sono delle azioni di mitigazione. Queste nel dettaglio:
- modificare le password predefinite degli account locali sui firewall SonicWall SMA, adottando passphrase robuste.
- mantenere i dispositivi costantemente aggiornati.
- abilitare l’autenticazione multi-fattore (MFA) per tutti gli account utente.
- non esporre i dispositivi e le relative interfacce di controllo direttamente sulla rete Internet.
- eseguire una revisione periodica degli account configurati e disabilitare quelli non più in uso.
- attivare un sistema di monitoraggio dei log per rilevare attività sospette su tutti i dispositivi firewall.
