Hackern gelang es, die VPN-MFA-Schutzmechanismen von SonicWall zu umgehen, nachdem Organisationen unvollständige Sicherheitsmaßnahmen für eine bekannte Schwachstelle in SonicWall Gen6 SSL-VPN-Appliances umgesetzt hatten. Forscher erklärten, dass Angreifer erfolgreich auf Netzwerke zugreifen konnten, obwohl einige betroffene Systeme bereits aktualisierte Firmware installiert hatten.
Die Vorfälle zeigen, wie unvollständige Gegenmaßnahmen kritische Infrastrukturen trotz installierter Patches weiterhin verwundbar machen können. Sicherheitsexperten warnen davor, dass Organisationen häufig zusätzliche Konfigurationsschritte übersehen, die notwendig sind, um betroffene Systeme vollständig abzusichern.
Unvollständige Gegenmaßnahmen ließen Systeme verwundbar
Laut Forschern standen die Angriffe im Zusammenhang mit CVE-2024-12802, einer Schwachstelle in SonicWall Gen6 SSL-VPN-Geräten.
SonicWall warnte davor, dass die Installation des Firmware-Updates allein das Problem auf betroffenen Geräten nicht vollständig behebt. Administratoren müssen zusätzlich LDAP-Konfigurationen manuell aktualisieren, um das Risiko einer MFA-Umgehung vollständig zu schließen.
Mehrere kompromittierte Umgebungen galten Berichten zufolge als vollständig gepatcht, da sie bereits aktualisierte Firmware-Versionen verwendeten. Die betroffenen Organisationen hatten jedoch die zusätzlichen Sicherheitsmaßnahmen nach dem Update nicht vollständig umgesetzt.
Forscher beschrieben die Vorfälle als einige der ersten bestätigten aktiven Ausnutzungen der Schwachstelle in freier Wildbahn.
Angreifer erweiterten ihren Zugriff sehr schnell
Nach der Umgehung der Authentifizierungsschutzmechanismen bewegten sich die Angreifer schnell innerhalb der kompromittierten Umgebungen.
In einem Fall erreichten Bedrohungsakteure innerhalb von rund 30 Minuten nach dem VPN-Zugriff einen mit der Domäne verbundenen Dateiserver. Forscher beobachteten außerdem Versuche, Zugangsdaten wiederzuverwenden und über gemeinsam genutzte Administratorpasswörter Fernzugriff einzurichten.
Die Aktivitäten entsprachen Techniken, die häufig mit Ransomware-Operationen und lateralen Bewegungen nach einer Kompromittierung verbunden werden.
Sicherheitsexperten warnen, dass VPN-Appliances weiterhin äußerst attraktive Ziele darstellen, da erfolgreiche Angriffe direkten Zugriff auf interne Unternehmensnetzwerke ermöglichen können.
VPN-Infrastrukturen bleiben stark im Visier
Die SonicWall-Vorfälle spiegeln einen breiteren Trend von Angriffen auf VPN-Gateways, Firewalls und Edge-Infrastrukturen wider.
Bedrohungsakteure konzentrieren sich zunehmend auf Authentifizierungssysteme, schwache Passwort-Richtlinien und schlecht abgesicherte Remote-Access-Umgebungen. Sicherheitsforscher beobachten weiterhin, dass Angreifer internetexponierte Infrastrukturen kurz nach der Veröffentlichung neuer Schwachstellen aktiv scannen.
Remote-Access-Systeme stellen besonders wertvolle Ziele dar, da sie häufig direkt mit sensiblen internen Systemen und administrativen Umgebungen verbunden sind.
Forscher warnen, dass selbst korrekt gepatchte Infrastrukturen verwundbar bleiben können, wenn Organisationen nicht sämtliche erforderlichen Gegenmaßnahmen vollständig umsetzen.
Organisationen sollten SonicWall-Konfigurationen überprüfen
Sicherheitsexperten empfehlen Organisationen, die Anweisungen von SonicWall sorgfältig zu prüfen, anstatt sich ausschließlich auf Firmware-Versionen zu verlassen.
Organisationen mit betroffenen SonicWall Gen6 SSL-VPN-Geräten sollten:
- Die neuesten Firmware-Updates installieren
- Sämtliche LDAP-Neukonfigurationen durchführen
- Exponierte VPN-Zugangsdaten zurücksetzen
- Starke Passwort-Richtlinien erzwingen
- MFA-Konfigurationen sorgfältig überprüfen
- Verdächtige VPN-Login-Aktivitäten überwachen
- Die Nutzung von Administratorkonten kontrollieren
- Ungewöhnliche Remote-Sitzungen untersuchen
Forscher empfehlen außerdem, gemeinsam genutzte Administratorzugänge zu überprüfen und unnötige Remote-Zugriffe möglichst einzuschränken.
Risiken durch MFA-Umgehungen nehmen weiter zu
Multifaktor-Authentifizierung bleibt eine der wichtigsten Sicherheitsmaßnahmen für Remote-Access-Systeme. Schwachstellen, die MFA umgehen können, reduzieren jedoch die Wirksamkeit dieser Schutzmechanismen erheblich.
Angreifer konzentrieren sich weiterhin stark auf Authentifizierungsinfrastrukturen, da erfolgreiche Kompromittierungen unmittelbaren Zugriff auf interne Unternehmensumgebungen ermöglichen können, ohne klassische Malware-Erkennungssysteme auszulösen.
Sicherheitsteams stehen zunehmend unter Druck sicherzustellen, dass Patch- und Gegenmaßnahmen veröffentlichte Schwachstellen vollständig beseitigen und nicht nur teilweise entschärfen.
Fazit
Die Vorfälle rund um die SonicWall-VPN-MFA-Umgehung zeigen, wie unvollständige Gegenmaßnahmen Organisationen selbst nach der Installation von Patches verwundbar machen können. Forscher erklärten, dass Angreifer die Authentifizierungsschutzmechanismen umgehen konnten, weil betroffene Systeme nicht alle erforderlichen Konfigurationsänderungen umgesetzt hatten.
Da Angriffe auf VPN-Infrastrukturen weiter zunehmen, müssen Organisationen sicherstellen, dass sämtliche Sicherheitsmaßnahmen jede Komponente veröffentlichter Schwachstellen vollständig adressieren.
0 Kommentare zu „Die SonicWall-VPN-MFA-Umgehung wurde durch unvollständige Sicherheitsfixes verursacht“