Een kritiek beveiligingslek in een cloudplatform van securitybedrijf SonicWall maakte het mogelijk om toegang tot miljoenen apparaten van zo'n 500.000 organisaties te krijgen, zo stelt securitybedrijf Pen Test Partners. Ruim twee weken nadat SonicWall was ingelicht werd de kwetsbaarheid verholpen.

SonicWall biedt allerlei netwerkapparaten, zoals firewalls, vpn's en UTM-appliances. Via een cloudplatform kunnen organisaties deze apparaten beheren. Organisaties kunnen voor hun omgeving gebruikers met verschillende rechten aanmaken. Beveiligingsonderzoeker Vangelis Stykas ontdekte een insecure direct object reference (IDOR) kwetsbaarheid in een API-request van het cloudplatform.

Via dit beveiligingslek was het mogelijk om elke willekeurige gebruiker aan elke willekeurige groep van elke willekeurige organisatie toe te voegen. Het enige dat was vereist was een geldig gebruikersaccount voor het cloudplatform. SonicWall maakte in de API-request gebruik van de parameter "partyGroupId". Dit Id bestaat uit zeven cijfers. Alleen door het Id in het request te veranderen kon een gebruiker aan een andere groep worden toegevoegd. Aangezien het Id uit zeven cijfers bestond was het eenvoudig om alle mogelijke Id's via een bruteforce-aanval te vinden, aldus Stykas.

De toegevoegde gebruiker zou vervolgens via het cloudplatform toegang tot de apparaten van het bedrijf kunnen krijgen, zoals firewalls, routers, vpn's en voip-systemen. Zo zouden bijvoorbeeld firewallregels kunnen worden aangepast of was het mogelijk om remote toegang te krijgen. In totaal was het mogelijk om aan 1,9 miljoen groepen van zo'n 500.000 organisaties te worden toegevoegd. Zeker tien miljoen unieke apparaten die via het cloudplatform waren te bedienen liepen risico, zo stelt Pen Test Partners.

Volgens Stykas is het ironisch dat een beveiligingsproduct het mogelijk maakte om de netwerken van klanten te compromitteren. De onderzoeker waarschuwde SonicWall op 13 augustus, en ontving drie kwartier later een bevestiging. Het probleem werd echter pas 17 dagen later verholpen. In de tussentijd werd het platform niet offline gehaald, waardoor klanten risico liepen, zo stelt Stykas. "Soortgelijke kwetsbaarheden die we aan andere organisaties melden worden meestal binnen 48 uur verholpen", merkt de onderzoeker op.