Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Nowa fala ataków na urządzenia SonicWall SSL-VPN pokazuje, że samo wdrożenie poprawki nie zawsze oznacza pełną eliminację ryzyka. Problem dotyczy podatności CVE-2024-12802, która w określonych scenariuszach integracji z Microsoft Active Directory pozwala obejść mechanizm uwierzytelniania wieloskładnikowego.
To szczególnie niebezpieczny przypadek, ponieważ organizacja może uznać system za zabezpieczony na podstawie wersji firmware’u, podczas gdy podatny wariant logowania nadal pozostaje aktywny. W efekcie atakujący mogą uzyskać dostęp do zdalnego dostępu VPN mimo formalnie włączonego MFA.
W skrócie
- Ataki wykorzystujące CVE-2024-12802 są obserwowane przeciwko appliance’om SonicWall SSL-VPN.
- Największe ryzyko dotyczy urządzeń Gen6, gdzie sam update firmware’u może nie wystarczyć.
- Pełna remediacja wymaga dodatkowych ręcznych działań rekonfiguracyjnych.
- Mechanizm obejścia wykorzystuje różnice między logowaniem w formacie UPN i SAM.
- Skutkiem może być ominięcie MFA i prowadzenie zautomatyzowanych ataków brute force.
Kontekst / historia
Podatność CVE-2024-12802 została opisana jako błąd obejścia uwierzytelniania w SonicWall SSL-VPN. Producent opublikował advisory oraz aktualizację firmware’u, jednak późniejsze analizy incydentów wykazały, że w środowiskach opartych na platformie Gen6 samo zainstalowanie poprawki nie zawsze zamyka wektor ataku.
Badacze analizujący incydenty z początku 2026 roku zauważyli powtarzalny wzorzec działań: konta VPN były brute-force’owane w szybkim tempie, MFA wydawało się aktywne, lecz nie zatrzymywało logowania, a logi wskazywały na zautomatyzowane użycie określonego typu sesji. Dodatkowe znaczenie ma fakt, że urządzenia Gen6 osiągnęły status end-of-life, co zwiększa presję na migrację do nowszych platform.
Na ocenę ryzyka wpływa również rozbieżność w scoringu podatności. Producent przypisał luce umiarkowany poziom w skali CVSS, podczas gdy niezależna ocena CISA-ADP wskazała znacznie wyższe ryzyko, co mogło przełożyć się na niższy priorytet działań po stronie części organizacji.
Analiza techniczna
Źródłem problemu jest sposób egzekwowania MFA dla dwóch różnych formatów tożsamości używanych przy integracji z Active Directory. Chodzi o format UPN, przykładowo użytkownik@domena, oraz format SAM, przykładowo DOMENA\nazwa_użytkownika.
W podatnym scenariuszu mechanizm MFA nie jest wymuszany jednolicie na poziomie tożsamości użytkownika, lecz zależy od konkretnej ścieżki logowania. Oznacza to, że jeśli dodatkowy składnik został poprawnie przypisany tylko do jednego formatu nazwy konta, atakujący może próbować uwierzytelnić się przez drugi wariant i w ten sposób ominąć MFA.
W środowiskach Gen6 sytuację komplikuje fakt, że sam patch firmware’u nie usuwa istniejącej konfiguracji LDAP odpowiedzialnej za podatny wariant uwierzytelniania. Aby remediacja była skuteczna, administrator musi wykonać dodatkowe kroki rekonfiguracyjne. Pominięcie tego etapu sprawia, że urządzenie może wyglądać na naprawione z perspektywy wersji oprogramowania, ale nadal pozostaje możliwe do wykorzystania przez napastnika.
Z punktu widzenia operatorów ataku to bardzo praktyczny wektor. Umożliwia prowadzenie szybkich i zautomatyzowanych prób logowania bez typowych barier związanych z poprawnie egzekwowanym MFA. Taki scenariusz dobrze wpisuje się w działania grup nastawionych na przejęcie dostępu początkowego, ruch boczny i dalszą monetyzację incydentu.
Konsekwencje / ryzyko
Najpoważniejszym zagrożeniem jest fałszywe poczucie bezpieczeństwa. Organizacja może uznać, że problem został rozwiązany, ponieważ firmware został zaktualizowany, system raportuje zgodność, podatność zniknęła z dashboardów, a MFA formalnie pozostaje włączone.
W praktyce urządzenie może nadal umożliwiać nieautoryzowany dostęp do zasobów zdalnych. Otwiera to drogę do przejęcia kont VPN, wejścia do sieci wewnętrznej, poruszania się lateralnego, wdrożenia ransomware oraz eskalacji incydentu do poziomu zakłócającego ciągłość działania organizacji.
Dodatkowym problemem jest koniec wsparcia dla platformy Gen6. Utrzymywanie takich urządzeń w środowisku produkcyjnym zwiększa ryzyko operacyjne, utrudnia remediację i ogranicza możliwości uzyskania pełnego wsparcia producenta w razie kolejnych incydentów lub nowych ustaleń dotyczących bezpieczeństwa.
Rekomendacje
W przypadku SonicWall SSL-VPN kluczowe jest rozróżnienie między statusem „patch applied” a rzeczywistym „fully remediated”. Organizacje powinny nie tylko sprawdzić wersję firmware’u, ale również potwierdzić, że wykonano wszystkie niezbędne zmiany konfiguracyjne.
- Zweryfikować, czy środowisko obejmuje urządzenia Gen6 oraz czy korzystają one z integracji z Active Directory.
- Potwierdzić wykonanie wszystkich dodatkowych kroków rekonfiguracji wymaganych po instalacji poprawki.
- Przeprowadzić audyt konfiguracji LDAP oraz sposobu obsługi logowania w formatach UPN i SAM.
- Przeanalizować logi pod kątem szybkich, zautomatyzowanych prób uwierzytelniania i nietypowych sesji SSL-VPN.
- Wymusić reset haseł dla kont narażonych na brute force oraz sprawdzić skuteczność polityk MFA dla obu ścieżek logowania.
- Potraktować urządzenia Gen6 jako kandydatów do pilnej wymiany, izolacji lub dodatkowej segmentacji.
- Rozszerzyć patch management o walidację zmian konfiguracyjnych i testy skuteczności remediacji.
- Wzmocnić monitoring urządzeń brzegowych oraz korelację zdarzeń z obszaru IAM i VPN.
Strategicznie ten przypadek pokazuje, że nowoczesna remediacja coraz częściej wykracza poza samą aktualizację oprogramowania. Obejmuje także korekty konfiguracji, przegląd polityk dostępowych, rotację poświadczeń oraz praktyczne potwierdzenie, że mechanizmy ochronne działają tak, jak zakłada organizacja.
Podsumowanie
Przypadek CVE-2024-12802 stanowi istotne ostrzeżenie dla zespołów bezpieczeństwa i administratorów infrastruktury zdalnego dostępu. W urządzeniach SonicWall SSL-VPN, szczególnie z rodziny Gen6, aktualny firmware nie musi oznaczać pełnego usunięcia zagrożenia, jeśli nie wykonano dodatkowej rekonfiguracji LDAP.
Technicznie problem wynika z niespójnego egzekwowania MFA pomiędzy formatami UPN i SAM. Operacyjnie oznacza to ryzyko ukrytej ekspozycji na urządzeniach brzegowych, które często stanowią jeden z najważniejszych punktów wejścia do środowiska organizacji. Priorytetem powinno być teraz potwierdzenie pełnej remediacji, analiza logów oraz plan odejścia od niewspieranych platform.
Źródła
- Cybersecurity Dive — https://www.cybersecuritydive.com/news/patch-bypass-hackers-exploit-flaw-sonicwall/820600/
- ReliaQuest — VPN Exploitation When Patched Doesn’t Mean Protected | Threat Spotlight — https://reliaquest.com/blog/threat-spotlight-vpn-exploitation-when-patched-doesnt-mean-protected/
- NVD — CVE-2024-12802 — https://nvd.nist.gov/vuln/detail/CVE-2024-12802
- SonicWall PSIRT — Security Advisory SNWLID-2025-0001 — https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0001