SonicWall a récemment divulgué une vulnérabilité critique de contournement d’authentification dans SonicOS, le système d’exploitation qui alimente nombre de ses appareils compatibles SSLVPN. La vulnérabilité, CVE-2024-53704, permet à des attaquants distants non authentifiés de détourner des sessions VPN actives, en contournant les mesures d’authentification, y compris l’utilisation de l’authentification multifacteur (MFA), pour obtenir un accès non autorisé aux réseaux internes.

Les chercheurs en sécurité ont confirmé le problème et développé un exploit de preuve de concept (PoC) qui démontre le détournement de sessions via une faille dans l’analyse base64 des cookies de session SSLVPN.

Produit	SonicWall SSL VPN
Date	04-02-2025 08:14:03
Informations	Tendance Correctif disponible

Résumé technique

La CVE-2024-53704 est une vulnérabilité de détournement de session qui découle d’une validation faible dans le processus d’authentification SSLVPN de SonicWall. La faille permet aux attaquants d’utiliser le serveur SSLVPN comme un oracle booléen aveugle pour forcer par attaque par force brute des cookies de session valides sans avoir besoin d’identifiants valides.

L’attaque se déroule comme suit :

1. Deviner un ID de session partiel et le compléter avec des caractères nuls.
2. Calculer une somme de contrôle (checksum) valide pour la session partielle.
3. Encoder la charge utile (payload) en base64 et l’envoyer au point de terminaison /api/v1/client/sessionstatus.
4. Analyser la réponse du serveur pour confirmer les sessions valides.
5. Répéter le processus pour forcer par force brute l’ID de session complet.
6. Utiliser un client VPN open-source, tel que nxBender, pour détourner la session et obtenir l’accès.

Une fois qu’une session valide a été détournée, l’attaquant peut établir une connexion persistante et se déplacer latéralement au sein du réseau.

Recommandations

Les organisations utilisant des appareils SonicWall compatibles SSLVPN concernés doivent :

• Appliquer immédiatement la mise à jour du micrologiciel la plus récente, telle que SonicOS 7.1.3-7015, qui corrige le défaut de validation de session.
• Surveiller les sessions VPN actives à la recherche d’activités suspectes et forcer la déconnexion de toutes les sessions actives après l’application du correctif.
• Mettre en œuvre des politiques d’expiration de session pour réduire le risque de détournement de sessions de longue durée.
• Activer la surveillance et la journalisation supplémentaires pour détecter les tentatives d’accès non autorisées.
• Envisager de limiter l’accès VPN aux adresses IP connues ou aux appareils de confiance dans la mesure du possible.

[Callforaction-THREAT-Footer]