Bij recente aanvallen op SonicWall-firewalls is zeer waarschijnlijk geen gebruikgemaakt van een zerodaylek, zo laat SonicWall zelf weten. Het securitybedrijf denkt dat de aanvallen samenhangen met een kwetsbaarheid aangeduid als CVE-2024-40766, waar eind augustus vorig jaar een patch en aanvullende instructies voor verschenen. De afgelopen dagen waarschuwden verschillende securitybedrijven voor een mogelijk zerodaylek in de firewalls van SonicWall.

De mogelijke kwetsbaarheid zou aanwezig zijn in het SSLVPN-onderdeel van de firewall, dat organisaties gebruiken om medewerkers toegang tot interne netwerken en applicaties te geven. Naar aanleiding van de waarschuwingen van de securitybedrijven kwam SonicWall op maandag 4 augustus met de oproep aan klanten om de SSLVPN-functie op de firewalls uit te schakelen.

In een update van het eerder gegeven beveiligingsadvies stelt SonicWall dat het minder dan veertig getroffen organisaties onderzoekt. Op basis van de onderzoeken denkt het securitybedrijf dat er geen zerodaylek is gebruikt, maar dat de waargenomen aanvallen samenhangen met beveiligingslek CVE-2024-40766 en het niet opvolgen van advies in het beveiligingsbulletin.

Advies om wachtwoorden te resetten

Vorige week waarschuwden verschillende securitybedrijven voor ransomware-aanvallen waarbij SonicWall-firewalls, die volledig up-to-date waren, als springplank naar het achterliggende netwerk werden gebruikt. Onderzoekers dachten aan een zerodaylek, een onbekende kwetsbaarheid waar op het moment van misbruik geen informatie over beschikbaar is. Volgens SonicWall is er zeer waarschijnlijk geen sprake van een zeroday, maar hebben getroffen organisaties het advies uit het beveiligingsbulletin niet gevolgd.

Bij het uitkomen van de patches vorig jaar augustus kregen organisaties die met een generatie 5 of 6 firewall werkten het advies om wachtwoorden van lokaal beheerde SSLVPN-accounts meteen te veranderen en multifactorauthenticatie in te schakelen. "Veel van de onderzochte incidenten hadden te maken met migraties van generatie 6 naar generatie 7 firewalls, waar lokale gebruikerswachtwoorden tijdens de migratie werden overgezet en niet gereset. Het resetten van wachtwoorden was een belangrijke stap zoals beschreven in de originele advisory", aldus SonicWall. Dat roept klanten op die een generatie 6 firewall-configuratie hebben geïmporteerd om alsnog lokale gebruikerswachtwoorden te resetten.