Si usas un firewall SonicWall para proteger tu red, presta atención: Recientemente se han revelado todos los detalles de una vulnerabilidad crítica, la CVE-2024-53704, que permite a los hackers eludir la autenticación en ciertas versiones de la aplicación SSLVPN de SonicOS. En pocas palabras, pueden secuestrar sesiones VPN sin necesidad de credenciales y acceder a tu red como si fueran usuarios legítimos.
El riesgo es alto, y SonicWall lo dejó claro en un boletín publicado el 7 de enero, advirtiendo a los administradores que deben actualizar su firmware de inmediato para cerrar esta brecha de seguridad. Si tienes SSL VPN o administración SSH habilitada, tu firewall es vulnerable y podrías estar expuesto a un ataque real.
Esta vulnerabilidad es un problema serio: permite a un atacante remoto secuestrar sesiones activas de SSL VPN sin necesidad de autenticarse, dándoles acceso directo a la red de su víctima. En otras palabras, pueden entrar como si fueran usuarios legítimos, sin necesidad de credenciales.
El 22 de enero, investigadores de seguridad lograron desarrollar un exploit funcional para esta falla, confirmando lo que muchos temían: es totalmente explotable. Tras darle un tiempo a los administradores para aplicar los parches, finalmente se publicaron los detalles técnicos sobre cómo se lleva a cabo el ataque.
Básicamente, el exploit aprovecha una vulnerabilidad en el sistema de autenticación de la SSL VPN de SonicWall. Funciona enviando una cookie de sesión manipulada con una cadena de bytes nulos codificada en base64 al punto de autenticación en '/cgi-bin/sslvpnclient'. Esto engaña al sistema y permite a los atacantes ingresar sin restricciones.
Ingeniería inversa del parche para encontrar la falla (Fuente: Bishop Fox)
El problema ocurre porque el sistema de autenticación interpreta erróneamente la solicitud, asumiendo que pertenece a una sesión VPN activa. Como resultado, desconecta al usuario legítimo y entrega el acceso al atacante, permitiéndole tomar el control total de la sesión.
Una vez dentro, el hacker puede ver los accesos guardados en la oficina virtual del usuario, obtener la configuración del cliente VPN, establecer su propio túnel VPN hacia la red interna e incluso acceder a recursos privados como servidores y archivos compartidos.
Para comprobarlo, los investigadores crearon un exploit de prueba y lograron secuestrar sesiones activas con éxito. Al analizar las respuestas del sistema, confirmaron que podían identificar el nombre de usuario, el dominio y las rutas privadas a las que tenía acceso la víctima a través de la VPN SSL.
Descripción general de la ruta
Podría interesarte leer: ¿Qué es un Ataque de Ingeniería Inversa?
Si usas un firewall SonicWall, es momento de verificar tu versión, porque esta vulnerabilidad afecta a varias ediciones de SonicOS, incluyendo 7.1.x (hasta 7.1.1-7058), 7.1.2-7019 y 8.0.0-8035. Esto significa que muchos modelos de firewalls Gen 6 y Gen 7, así como dispositivos de la serie SOHO, están en riesgo.
Para solucionar el problema, SonicWall lanzó parches en versiones como SonicOS 8.0.0-8037, 7.0.1-5165, 7.1.3-7015 y 6.5.5.1-6n, entre otras. Si no estás seguro de qué versión tienes o si tu modelo está afectado, revisa el boletín oficial de SonicWall y actualiza lo antes posible.
El peligro es real: hasta el 7 de febrero, los escaneos en Internet mostraban que alrededor de 4,500 firewalls SonicWall SSL VPN aún estaban expuestos sin los parches de seguridad instalados. Ahora que el exploit ya es público y totalmente funcional, los ciberdelincuentes no perderán tiempo en aprovecharlo.