SonicWall、修正失敗によりSSL-VPNインフラが攻撃にさらされたことを受け、緊急パッチをリリース
TL;DR
SonicWall、修正失敗による深刻なSSL-VPNの脆弱性に対処するため緊急対応
SonicWallが再び窮地に立たされています。同社はGen 7ファイアウォールに関する緊急アドバイザリを発行し、脅威アクターがSSL-VPNインフラを積極的に攻撃していることを認めました。
はっきりさせておきましょう。これは目新しいゼロデイの悪夢ではありません。CVE-2024-40766という、以前から存在する脆弱性が悪用されているのです。攻撃者はこれを利用してネットワークへの侵入経路を確保し、ランサムウェアを展開しています。
問題の根本は「移行の弊害」にあります。組織が古いGen 6ハードウェアを新しいGen 7ユニットに交換する際、多くの管理者が古いローカルユーザーパスワードをそのまま引き継いでしまったのです。パスワードのリセットも監査も行わず、そのまま移行しました。現在、それらの古く脆弱な資格情報が、驚くほど簡単にブルートフォース攻撃の標的となっています。カナダサイバーセキュリティセンター（Canadian Centre for Cyber Security）は、攻撃者がこれらの盗まれた資格情報を使用して多要素認証（MFA）を回避し、企業ネットワークに侵入してAkiraランサムウェアを展開していると警告しています。
影響範囲：件数は少なくても被害は甚大
SonicWallは、確認されたインシデントは40件未満であると主張しています。しかし、その数字に惑わされてはいけません。影響範囲は限定的でも、被害は壊滅的です。フルスケールのランサムウェア展開が行われているのです。
技術的な内訳は単純ですが、残酷です。攻撃者はレガシーシステムから引き継がれたローカルアカウントを狙っています。それらのパスワードが現代の複雑性基準を満たしていない場合、あるいは過去のデータ流出で漏洩していた場合、それは事実上の「開かれたドア」となります。攻撃者は侵入後、単に閲覧するだけでなく、MFA制御を回避して永続的なアクセスを確立します。
ドアを閉ざす方法
Gen 7ハードウェアを使用している場合は、今すぐパッチを適用してください。SonicWallがリリースしたSonicOS 7.3は、これらのブルートフォース攻撃を阻止するために特別に設計された主要な防御策です。
今すぐ行うべきチェックリストは以下の通りです：
- ファームウェアのアップデート: 直ちにすべてをSonicOS 7.3にアップデートしてください。週末まで待ってはいけません。
- 古いパスワードの破棄: すべてのローカルユーザーアカウントに対して、強制的なパスワードリセットを実施してください。Gen 6機器から引き継いだものはすべて侵害されていると見なすべきです。
- MFAの強制: SSL-VPNアクセスポイントでMFAを強制していない場合、事実上窓を開けっ放しにしているのと同じです。
- ノイズのフィルタリング: ボットネットフィルタリングおよびGeo-IPフィルタリングを使用して、VPNにアクセスする正当な理由のない地域やソースからのトラフィックをブロックしてください。
認証チェーンの強化
セキュリティは最も弱いリンクと同じ強さしか持ちません。現在、そのリンクは認証チェーンです。SonicWallは、資格情報の詰め込み攻撃に対する譲れない防御層として、TOTPを使用したSSL-VPNの2FA設定に関するガイダンスを公開しています。さらに、SonicOS 7.3の新しいログイン試行ロックアウトおよびパスワード複雑性要件は、自動化された推測ツールを阻止するように設計されています。
| 緩和策のカテゴリ | 必要なアクション |
|---|---|
| ファームウェア | SonicOS 7.3へのアップデート |
| 資格情報 | すべてのローカルユーザーパスワードのリセット |
| 認証 | SSL-VPNでのMFA強制 |
| ネットワークセキュリティ | Geo-IPおよびボットネットフィルタリングの有効化 |
「移行の罠」
この状況は、標準的なハードウェア更新サイクルにおける重大な盲点を浮き彫りにしています。ITチームがハードウェアを移行する際、優先順位はほぼ常に「稼働を維持すること」に置かれます。しかし、継続性を維持しようと急ぐあまり、セキュリティが後回しにされることがよくあります。管理者は、ハードウェアが新しければセキュリティ体制も自動的にアップグレードされると思い込み、レガシー設定を有効にしたままにしてしまいます。
攻撃者はまさにその思い込みを狙っています。彼らはどの組織が最近アップグレードしたかを知っており、それらの組織が移行時に本来破棄すべきだった脆弱なレガシー資格情報を引き継いでいる可能性が高いことを理解しています。
今後は、ハードウェア移行の際には必ずローカルユーザーアカウントの徹底的な監査を行う必要があります。「本番稼働」のチェックリストの一部としてパスワードのリセットとMFAの再検証を行わない限り、脆弱性を新しい高価な箱に移し替えているに過ぎません。
常に警戒を怠らないでください。異常な認証スパイクがないかログを確認し、システムにパッチを適用し、長年データベースに眠っていた「レガシー」資格情報を信頼するのをやめてください。脅威の状況はあなたの稼働時間など気にしません。彼らが気にするのは、あなたの弱点だけです。
