SonicWall の脆弱性 CVE-2023-44221／CVE-2024-38475：任意のコード実行を実証する PoC が登場

SonicWall Exploit Chain Exposes Admin Hijack Risk via CVE-2023-44221 and CVE-2024-38475

2025/05/05 SecurityOnline — SonicWall の Secure Mobile Access (SMA) アプライアンスを標的とする、新たな PoC エクスプロイト・チェーンが公開された。この、watchTowr Labs が公開した技術情報は、脆弱性 CVE-2023-44221／CVE-2024-38475 を組み合わせることで、未認証のリモート攻撃者が管理者セッションを乗っ取り、任意のコード実行を達成する仕組みが解説されている。

SonicWall が Critical と評価する脆弱性 CVE-2024-38475 は、Apache HTTP Server の mod_rewrite モジュールに存在し、バージョン 2.4.59 以下に影響を及ぼすものだ。その出力における不適切なエスケープ処理を悪用する攻撃者は、悪意の URL を機密ファイル・パスにマッピングし、影響を受ける SMA アプライアンスの認証を回避していく。

Apache HTTP Server の脆弱性 CVE-2024-38475 が悪用されると、認証の回避が達成され、脆弱な SonicWall SMA アプライアンスの管理者権限が、不正に取得される可能性が生じる。それだけでも大きなリスクとなるが、脆弱性 CVE-2023-44221 との組み合わせにより、さらに危険性が高まる。

この脆弱性 CVE-2023-44221 は、認証後のコマンド・インジェクションの欠陥であり、SMA 管理インターフェイスの Diagnostics メニューに影響を及ぼす。特殊要素の不適切な無効化を悪用する、認証済みの攻撃者は、nobody ユーザーのコンテキストでシステム・コマンドの挿入を達成する。したがって、管理者権限を持つ攻撃者は、任意のコマンド挿入を可能にする。

SonicWall, exploit chain
Image: watchTowr

攻撃者が CVE-2024-38475 を悪用して、セッションを乗っ取ったケースや、有効な認証情報を必要とせずに権限を昇格したケースにおいて、この脆弱性 CVE-2023-44221 は特に危険である。

つまり、この２つの脆弱性を連鎖させる攻撃者は、最初に CVE-2024-38475 を悪用して制限のある管理ページへのアクセスを達成し、セッション・トークンを盗み出す。続いて、脆弱性 CVE-2023-44221 を悪用することで、デバイス上で任意のコマンドを実行する可能性を手にする。WatchTowr Labs は、実用的な PoC エクスプロイト・チェーンを公開し、パッチ適用の緊急性を強調している。

これらの脆弱性は、以下の SonicWall SMA アプライアンスに影響を及ぼす：

  • SMA 200
  • SMA 210
  • SMA 400
  • SMA 410
  • SMA 500v

すれに SonicWall は、修正プログラムとしてファームウェア・バージョン 10.2.1.14-75sv 以降をリリースし、この問題に対処している。さらに同社は、脆弱性 CVE-2024-38475 に関連する追加のエクスプロイト手法を確認し、「特定のファイルへの不正アクセスにより、セッション・ハイジャックの可能性が生じている」と述べている。

なお、米国の Cybersecurity and Infrastructure Security Agency (CISA)  は、2025年5月1日付けで、この２つの脆弱性を KEV カタログに追加し、2025年5月22日までにパッチを適用するよう、連邦政府機関に対して指示している。

SonicWall SMA100 の脆弱性 CVE-2023-44221／CVE-2024-38475 に対する PoC が公開されました。これらの脆弱性は、すでに 2025/05/02 付けで CISA KEV に追加されています。ご利用のチームは、パッチ の適用をお急ぎください。よろしければ、以下の関連記事も、SonicWall で検索と併せて、ご参照ください。

2025/05/02：SonicWall SMA100 の脆弱性が CISA KEV に登録
2025/04/30：SonicWall SMA100 の脆弱性：積極的な悪用を観測