SonicWall retter udnyttet VPN-fejl, der kan omgå multifaktorgodkendelse

SonicWall udsendte fredag den 6. november sikkerhedsopdateringer til to generationer af sine firewalls. En af rettelserne lukker en fejl, der kan lade en angriber med gyldige loginoplysninger til en alternativ loginmetode omgå kontrollen ved virksomhedens fjernadgang. Hvis den normale loginvej kræver multifaktorgodkendelse, kan også det ekstra tjek blive sprunget over. Samme dag satte det amerikanske cybersikkerhedsagentur CISA fejlen på sin liste over sårbarheder, der er blevet udnyttet.

For danske arbejdspladser, der bruger SonicWalls SSL VPN til hjemmearbejde eller ekstern it-support, afhænger risikoen af, hvordan forbindelsen er sat op. SonicWall afgrænser fejlen til installationer med SAML slået til for SSL VPN-login. Rettelsen skal installeres på selve firewallen, hvor VPN-tjenesten kører.

Et ekstra tjek kan blive sprunget over

En VPN giver medarbejdere eller leverandører adgang til de interne systemer, som deres konto har rettigheder til, for eksempel et fællesdrev eller en intern applikation. Med SAML kan VPN-tjenesten lade en central identitetsudbyder håndtere login. Det gør det muligt at håndhæve samme loginregler på tværs af tjenester, herunder et krav om at bekræfte identiteten med en sikkerhedsnøgle eller en godkendelsesapp.

Fejlen, som har nummeret CVE-2026-19868, ligger i den måde, SonicOS håndhæver den kontrol på. SonicWall beskriver gyldige loginoplysninger til en alternativ metode som en forudsætning for at omgå SAML. Sikkerhedsmeddelelsen beskriver dermed en konkret risiko for virksomheder, der regner med det ekstra tjek til at beskytte adgangen, hvis en angriber får fat i et andet gyldigt sæt loginoplysninger.

CISA registrerer udnyttelse

SonicWall oplyser, at selskabets sikkerhedsteam har undersøgt en rapport om mulig udnyttelse. CISA klassificerer fejlen som udnyttet i sit katalog. Kataloget angiver samtidig, at det er ukendt, om fejlen har været brugt i en ransomwarekampagne. De offentlige oplysninger giver hverken et antal berørte virksomheder eller grundlag for at fastslå, om danske installationer er blevet ramt.

BleepingComputer identificerer sikkerhedsforskeren Ryan Harris fra The Electronic Office som den, der indberettede fejlen. Mediet fremhæver også, at samme opdateringspakke retter seks andre fejl, herunder to i firewallsystemets administrationsflade. De har hver deres betingelser for udnyttelse. Afgrænsningen til SAML på VPN-forbindelsen gælder den fejl, CISA har optaget i kataloget.

To generationer får hver sin rettelse

På de berørte Gen7-modeller angiver SonicWall version 7.3.3-7015 og ældre som sårbare. Rettelsen findes fra version 7.3.4-7013. For de berørte Gen8-modeller gælder det version 8.2.2-8015 og ældre, med rettelsen fra 8.2.3-8015. Producentens liste omfatter både fysiske firewalls og virtuelle modeller, som blandt andet kan køre hos cloududbydere.

Versionsnummeret fortæller, om en enhed har fået rettelsen. For at afgøre, om den har været eksponeret for netop denne fejl, skal driften også kende VPN-tjenestens indstillinger. En dansk virksomhed med flere kontorer eller en ekstern driftsleverandør kan derfor have behov for at få gennemgået flere enheder og konfigurationer, selv om medarbejderne oplever fjernadgangen som én fælles tjeneste.

Opdatering og loggennemgang er to opgaver

SonicWall angiver ingen midlertidig løsning i sin meddelelse og opfordrer kunderne til at opdatere hurtigst muligt. CISA har sat 20. november som frist for berørte civile føderale myndigheder i USA. Danske kunder har producentens opdatering til rådighed nu og kan bruge oplysningen om udnyttelse til at prioritere arbejdet.

Efter installationen kan driften kontrollere versionsnummeret på hver berørt enhed og afprøve fjernadgangen med en testkonto. Det kan vise, om det normale login stadig fungerer og kræver den forventede ekstra godkendelse. Hvis en leverandør står for driften, kan kunden bede om den installerede version og tidspunktet for opdateringen.

En loggennemgang har et andet formål. Ved mistanke om misbrug kan VPN-loggen sammenholdes med identitetsudbyderens hændelser og virksomhedens forventede loginmønster for at undersøge tidligere forbindelser. Opdateringen lukker den beskrevne vej uden om loginpolitikken fremover. En vurdering af, om nogen allerede har brugt den, kræver oplysninger fra den enkelte installation.