SonicWall GMS の脆弱性 CVE-2024-29010／29010 が FIX：データ侵害の可能性

SonicWall Patches GMS Flaws to Block Data Breaches and Bypass Attacks

2024/04/30 SecurityOnline — SonicWall がリリースしたのは、Global Management System (GMS) ソフトウェアに存在する、脆弱性 CVE-2024-29010／CVE-2024-29011 に対するセキュリティ・パッチである。それらの脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスや、認証メカニズムのバイパスなどの可能性を持つことになる。

脆弱性の説明

CVE-2024-29010 (CVSS：7.1)： XML 外部エンティティ処理における情報漏えいの脆弱性：この脆弱性は、GMS ECM エンドポイント内における、XML ドキュメント処理の方法に起因する。この XXE (XML eXternal Entity) インジェクションの脆弱性を悪用する、権限を持たない第三者により、機密情報がアクセスされる可能性が生じる。

CVE-2024-29011 (CVSS：7.5)：ハードコードされた認証情報による認証バイパスの脆弱性：この脆弱性は、GMS ECM エンドポイントにおける、ハードコードされた認証情報の使用に起因する。

これらの脆弱性が影響を及ぼす対象は、バージョン9.3.4 以降を実行しているSonicWall GMS 仮想アプライアンスおよび、Windows インストールとなる。なお、SonicWall Analytics 製品においては、これらの脆弱性の影響が生じないことを、同社は確認している。また、現時点において、悪用を示す証拠はない。

これらの脆弱性は、Trend Micro の Zero Day Initiative を通じて、Erik Wynter から SonicWall に報告されたものだ。

緊急対応が必要

一連の発見を受けた SonicWall は、Virtual Appliance および Windows プラットフォーム向けに、更新されたソフトウェ・アバージョンとして、GMS 9.4.0 (Build 9.4-9400.1040) をリリースした。このアップデートにより、今回の脆弱性は対処され、管理システムにおけるセキュリティは強化されている。

この脆弱性の影響を受ける GMS バージョン 9.3.4 以下を使用している、すべての組織に対して SonicWall が強く推奨するのは、リスクを軽減するために、直ちに最新バージョンへとアップグレードすることだ。ソフトウェアのアップデートが遅れる場合には、ネットワークへの不正アクセスや、データ漏洩が生じる可能性が生じてくる。

SonicWall に脆弱性です。悪用は報告されていないようですが、ご利用のチームは、ご注意ください。前回の SonicWall に脆弱性は、2024/02/09 の「SonicWall SSL-VPN の脆弱性 CVE-2024-22394 が FIX：ファームウェアの更新が急がれる」でした。よろしければ、SonicWall で検索と併せて、ご参照ください。