SonicWall 發佈緊急修補程式：修復 SSL-VPN 基礎設施因修復失敗而暴露的漏洞
TL;DR
SonicWall 緊急修補因修復失敗而暴露的關鍵 SSL-VPN 漏洞
SonicWall 再度陷入輿論風暴。這家安全公司剛針對其 Gen 7 防火牆發佈了緊急公告，證實威脅行為者正積極攻擊其 SSL-VPN 基礎設施。
我們必須明確一點：這並非什麼全新的零日漏洞惡夢，而是 CVE-2024-40766 漏洞所引發的混亂後果。該漏洞存在已久，但目前仍被攻擊者用來獲取系統控制權，並進而部署勒索軟體。
問題的根源在於「遷移後遺症」。當企業將老舊的 Gen 6 硬體更換為較新的 Gen 7 設備時，許多管理員只是簡單地將舊的本地用戶密碼遷移過去。他們沒有重設密碼，也沒有進行審核，就這樣直接搬移了。現在，這些陳舊且脆弱的憑證正輕易地被暴力破解。加拿大網路安全中心 (Canadian Centre for Cyber Security) 已指出，攻擊者正利用這些被盜用的憑證繞過多重身份驗證 (MFA)，潛入企業網路並散佈 Akira 勒索軟體變種。
影響範圍：數量雖少，後患無窮
SonicWall 聲稱目前僅發現不到 40 起確診案例。別讓這個數字讓你產生虛假的安全感。雖然受影響範圍看似有限，但造成的損害卻是災難性的，因為這涉及了大規模的勒索軟體部署。
技術層面的分析簡單卻殘酷：攻擊者正在搜尋從舊系統遷移過來的本地帳戶。如果這些密碼不符合現代複雜度標準，或者曾出現在過去的資料外洩事件中，它們基本上就如同敞開的大門。一旦攻擊者進入，他們不僅僅是瀏覽，還會繞過 MFA 控制以建立持久性存取。
如何加固防禦
如果您正在使用 Gen 7 硬體，請立即停止閱讀並開始修補。SonicWall 發佈的 SonicOS 7.3 是目前主要的防禦手段，專門用於阻止這些暴力破解攻擊。
以下是您的緊急待辦事項清單：
- 更新韌體： 立即將所有設備更新至 SonicOS 7.3。不要等到週末。
- 清除舊密碼： 強制重設所有本地用戶帳戶的密碼。如果該帳戶是從 Gen 6 設備遷移過來的，請將其視為已遭入侵。
- 強制執行 MFA： 如果您尚未對 SSL-VPN 存取點強制執行 MFA，這等於是門戶大開。
- 過濾流量： 使用 殭屍網路過濾 (botnet filtering) 和 地理位置 IP 過濾 (Geo-IP filtering) 來封鎖與您 VPN 無關的地區或來源流量。
加強身份驗證鏈
安全性取決於最薄弱的環節，而目前最薄弱的就是您的身份驗證鏈。SonicWall 已發佈關於 配置 SSL-VPN 的 TOTP 雙重驗證 (2FA) 的指南，這是防止憑證填充攻擊不可或缺的防禦層。此外，SonicOS 7.3 中新增的 登入嘗試鎖定與密碼複雜度要求 功能，旨在讓自動化猜測工具碰壁。
| 緩解類別 | 所需操作 |
|---|---|
| 韌體 | 更新至 SonicOS 7.3 |
| 憑證 | 重設所有本地用戶密碼 |
| 身份驗證 | 對 SSL-VPN 強制執行 MFA |
| 網路安全 | 啟用地理位置 IP 與殭屍網路過濾 |
「遷移陷阱」
這種情況凸顯了標準硬體更新週期中一個明顯的盲點。當 IT 團隊從一代硬體遷移到下一代時，優先事項幾乎總是「維持運作」。正常運行時間 (Uptime) 是關鍵。但在追求連續性的過程中，安全性往往被擱置一旁。管理員保留了舊有的設定，認為硬體更新了，安全性就會自動升級。
這種假設正是攻擊者所利用的。他們知道哪些組織最近進行了升級，也知道這些組織很可能帶入了從未打算在遷移後繼續使用的脆弱舊憑證。
展望未來，任何硬體遷移後都必須進行嚴格的本地用戶帳戶審核。如果您沒有將重設密碼和重新驗證 MFA 作為「上線」檢查清單的一部分，您只是將漏洞遷移到了新的、昂貴的設備中。
保持警惕。檢查您的日誌是否有異常的身份驗證高峰，修補您的系統，並停止信任那些在資料庫中存放多年的「舊」憑證。威脅環境不在乎您的正常運行時間，它只在乎您的弱點。
