CVE-2021-20023
SonicWall SonicWall Email Security
2021-11-03
SonicWall Email Security contains a path traversal vulnerability that allows a post-authenticated attacker to read files on the remote host. This vulnerability has known usage in a SonicWall Email Security exploit chain along with CVE-2021-20021 and CVE-2021-20022 to achieve privilege escalation.
Технический анализ и план устранения
Суть уязвимости
Уязвимость типа "Path Traversal" (CWE-22) в веб-интерфейсе SonicWall Email Security. После успешной аутентификации злоумышленник может сформировать специальный HTTP-запрос, содержащий последовательности типа ../ (traversal sequences), чтобы получить несанкционированный доступ к файлам за пределами корневой директории веб-приложения на сервере. В сочетании с другими уязвимостями (CVE-2021-20021, CVE-2021-20022) это позволяет повысить привилегии в системе.
Как исправить
Установите официальный патч от SonicWall. Уязвимость устранена в следующих версиях: * SonicWall Email Security версии 10.0.9.6103 и выше. * SonicWall Hosted Email Security — исправление применено на стороне SonicWall.
Действия для обновления: 1. Войдите в веб-интерфейс администратора SonicWall Email Security. 2. Перейдите в раздел System > Firmware & Licenses. 3. В секции Firmware Update нажмите Check For Updates. 4. Если доступна версия 10.0.9.6103 или новее, нажмите Download and Install Update. 5. Дождитесь завершения процесса обновления и перезагрузки устройства/ВМ.
Временное решение
Если немедленное обновление невозможно, примите следующие меры:
1. Ограничьте доступ к веб-интерфейсу:
* Настройте брандмауэр (на самом устройстве или внешнем) так, чтобы доступ к портам веб-интерфейса (по умолчанию 443/TCP) был разрешен только с доверенных IP-адресов (например, сети администраторов).
bash
# Пример для iptables (выполняется на отдельном шлюзе, не на самом SonicWall)
iptables -A INPUT -p tcp --dport 443 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP
2. Усильте мониторинг:
* Включите детальное логирование веб-доступа и регулярно анализируйте логи на наличие подозрительных запросов, содержащих строки ../, ..\, %2e%2e%2f или их вариации.
3. Рассмотрите использование WAF:
* Разместите перед устройством Web Application Firewall (WAF), способный блокировать атаки типа Path Traversal (правила OWASP, такие как ID 930100-930120).