同社によれば、これらの脆弱性には回避策となる防御手段が存在せず、そのうち1件は未認証のままリモート攻撃を許してしまうといいます。すでにパッチは公開済みです。
SonicWallは月曜日、Secure Mobile Access 1000シリーズアプライアンスに存在する2件の重大なセキュリティ脆弱性を報告しました。同社によれば、いずれもすでに実際の攻撃で悪用されているとのことで、それぞれに対するパッチもあわせて公開されています。専門家らは、これらの脆弱性のうち認証を回避してリモート攻撃を可能にするものについて、特に憂慮すべき事態だと指摘しています。
SonicWallはセキュリティアラートの中で、1件目の脆弱性(CVE-2026-83548、深刻度は最高値の10・クリティカル)について、「意図しない代替アクセス経路が原因で、SMA1000アプライアンスのWork Placeインターフェースに認証前SSRF脆弱性が存在する。リモートの未認証攻撃者がこの脆弱性を悪用することで、機密性の高い機能への不正アクセスや不正操作を行える可能性がある」と説明しています。
また、2件目の脆弱性(CVE-2026-83549)はSMA1000アプライアンス管理コンソール(AMC)に存在するもので、攻撃者が管理者になりすました上で「任意のOSコマンドを実行し、リモートコード実行につながる可能性がある」とアラートは説明しています。こちらの深刻度は7.8(高)と評価されています。
ファームウェアのバージョン12.4.3-03453および12.5.0-02835に影響するこの2件の脆弱性には、いずれも回避策は存在しません。同社は、デバイスがすでに侵害されているかどうかを判断する際にはテクニカルサポートに問い合わせるよう顧客に呼びかけています。
迅速なパッチ適用が推奨される
サイバーセキュリティのコンサルタントや専門家らは、こうした脆弱性の性質を踏まえ、ITおよびセキュリティチームに対してできるだけ早くパッチを適用するよう呼びかけています。
Aikido Securityのエンタープライズ担当CISOであるMike Wilkes氏は、攻撃者が単なるアクセスにとどまらずシステムの完全な制御権を握りかねない点について、恐ろしい事態だと述べています。
「SonicWall自身が、侵害されたアプライアンスの再イメージ化や、ユーザーおよび管理者のパスワード、TOTPトークンのリセットを推奨していること自体が、この可能性をいかに深刻に受け止めるべきかを物語っている」と同氏は述べ、SonicWallの過去の経緯を踏まえてもCISOは迅速に動くべきだと付け加えました。
LexisNexis Risk Solutions GroupのCISOであるFlavio Villanustre氏も、「これらは考え得る限り最も深刻な部類の脆弱性だ。緊急を要する『真っ赤』な案件として分類すべきだ」と付け加えています。
同氏によれば、これらの脆弱性をこれほど深刻だとみなす理由の一つは、セキュアなモバイルアクセスアプライアンスであるSMA1000がどのように展開され、不特定多数のWeb訪問者からどれほどアクセス可能な状態に置かれているか、というその性質にあるといいます。
「CVE-2026-83548を悪用すれば、脅威アクターは一切の認証を必要とせずにシステムへあらゆる変更を加えることができる。つまり、攻撃者は有効な認証情報を持たなくてもシステムに接続し、セキュリティ設定を改変できてしまう」とVillanustre氏は述べています。「この脆弱性は制御機構を完全に無力化し、攻撃者に幅広い攻撃の機会を与えるだけでなく、修正後も持続的にアクセスを維持できる余地を残してしまう」といいます。
FormerGovの事務局長を務めるサイバーセキュリティコンサルタントのBrian Levine氏も同様の見解を示しています。
認証前SSRFは「本来触れるはずのない制御機構に、未認証の攻撃者が到達できてしまう脆弱性だ。そしてコマンドインジェクションの脆弱性が、そのアクセス経路をアプライアンス上での完全なコード実行へと変えてしまう」とLevine氏は述べています。「こうしたアプライアンスはネットワークの境界に位置し、リモートアクセスを仲介する役割を担っているため、最悪の場合、攻撃者に信頼された基幹ゲートウェイを乗っ取られ、そこを足がかりに内部ネットワークへ侵入され、認証情報や設定情報を窃取された上、永続的な足場を築かれ、ネットワーク内を横方向に移動されてしまう」と指摘しています。
IDCのリサーチディレクターであるPhilip Harris氏も、Levine氏の見解に同意しています。
「エッジアクセス用アプライアンスにとって、この2件はこれ以上ないほど深刻な部類に入る。しかもSonicWallがこれをすでに実際の攻撃で悪用されているものとして開示していることで、これが単なる理論上のリスクではないことが裏付けられている」と同氏は述べています。
Harris氏の指摘によれば、認証前SSRF単体でも、外部の攻撃者は本来アプライアンスが公開するはずのなかった内部機能に到達できてしまいます。「これがアプライアンス管理コンソールにおけるOSコマンドインジェクションと組み合わさることで、一連の攻撃チェーンが完成する。未認証のSSRFによって攻撃者はコマンドインジェクションの脆弱性を突ける位置に到達し、最終的にはリモートコード実行、実質的には設計上ネットワークの境界に位置するデバイス上でroot権限による実行に至る」と説明しています。
6月の攻撃チェーンの再来
今回の件を特に重大にしているのは、そのタイミングとパターンだと同氏は指摘します。「これは事実上、ほんの数週間前に同じアプライアンス製品ラインで起きた事態の再現だ」と同氏は述べ、7月に開示された、SMA1000におけるSSRFとコマンドインジェクションを組み合わせた「ほぼ同一」の攻撃チェーンに言及しました。この攻撃チェーンについて、Volexityの研究者らはパッチが存在するようになるまでの数週間前、6月22日から悪用が始まっていたことを突き止めています。
「その以前の攻撃チェーンはUTA0533として追跡されている脅威クラスターに把握され、その後INCランサムウェアの攻撃グループによって大規模に武器化された。同グループはこれまでに世界中で約900件の被害を主張している」と同氏は指摘しています。これらの攻撃活動において、攻撃者らはローカルの認証情報、セッションデータベース、TOTP多要素認証のシード値を窃取し、被害者のネットワーク内を横方向に移動する前に、除去しづらい永続的なアクセス手段を確保していました。
そして、Wilkes氏が指摘するように、報告された脆弱性はこれだけにとどまりません。過去12カ月間にSonicWall製品に影響を及ぼす脆弱性として18件から22件のCVEが公表されており、それらはその他のセキュリティ問題、その中にはランサムウェア攻撃も含まれる形で結果を招いています。
同氏は皮肉を込めてこう述べています。「製品の定着度という観点から言えば、自社サイトの他のどのページよりもPSIRTポータルの方がトラフィックを集めているというのは、あまり褒められた特徴とは言えないだろう」。
この記事はもともとNetwork Worldに掲載されたものです。
