Wstrzyknięcie poleceń w panelu SSL-VPN urządzeń SonicWall SMA 100 jest wykorzystywane w atakach, a obejścia brak. Zaktualizuj firmware do 10.2.1.10-62sv i przejrzyj logowania administratorów.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom zdalny dostęp przez urządzenia SonicWall SMA 100 (SMA 200, 210, 400, 410, 500v). Werdykt: jeśli oprogramowanie układowe ma wersję 10.2.1.9-57sv lub starszą, zaktualizuj je dziś i przejrzyj historię logowań administratorów, bo luka jest wykorzystywana w atakach, a producent nie zna żadnego obejścia.
Amerykańska agencja CISA 1 maja 2025 roku dopisała podatność CVE-2023-44221 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w interfejsie zarządzania SSL-VPN urządzeń SonicWall SMA 100: osoba zalogowana jako administrator może dopisać do wpisywanej wartości własne polecenie systemowe, które urządzenie wykona jako konto „nobody”.
Producent opublikował poprawkę w grudniu 2023 roku. Przez siedemnaście miesięcy luka uchodziła za mało pilną, bo wymaga uprawnień administratora. 29 kwietnia 2025 roku SonicWall dopisał do biuletynu, że jest potencjalnie wykorzystywana w atakach. Termin naprawy wg CISA minął 22 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-44221 (biuletyn SonicWall SNWLID-2023-0018; w europejskiej bazie: EUVD-2023-48580) |
Data dodania do CISA KEV | 2025-05-01 |
Termin naprawy wg CISA | 2025-05-22 (21 dni od wpisu) |
Produkt | SonicWall SMA 100: SMA 200, SMA 210, SMA 400, SMA 410 oraz wirtualny SMA 500v |
Wersje zagrożone | Oprogramowanie układowe 10.2.1.9-57sv i starsze. Wykorzystanie wymaga uprawnień administratora w interfejsie zarządzania SSL-VPN |
Wersje bezpieczne | 10.2.1.10-62sv i nowsze; zalecane najnowsze wydanie wskazane przez producenta |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego (polecenia wykonywane jako konto „nobody”); CWE-78 |
Ocena CVSS | 7.2/10 (CVSS 3.1, WYSOKA) wg NVD i CISA; producent: 7.2 w notacji CVSS 3.0. Atak przez sieć, wymaga wysokich uprawnień (administrator), bez udziału użytkownika |
Wyobraź sobie przeszklony łącznik między biurowcem a halą, przez który pracownicy z zewnątrz dostają się do środka. Portier w łączniku przyjmuje od administratora budynku kartki z poleceniami, np. „otwórz drzwi numer 5”, i przepisuje je do dziennika wykonawczego. Nikt nie sprawdza, czy na kartce nie dopisano drobnym drukiem „i przy okazji wyłącz alarm w magazynie”. Portier wykonuje całość.
Tak działa ta luka. SMA 100 to pudełko, przez które pracownicy z domu łączą się z siecią firmy. W jego panelu administracyjnym jedna z wartości trafia do polecenia wykonywanego wewnątrz urządzenia bez sprawdzenia znaków specjalnych. Kto ma dostęp administratora, dopisuje własne polecenie. Wykonuje się ono na koncie o niskich uprawnieniach („nobody”), ale na urządzeniu, które widzi wnętrze sieci firmy.
💡 SSL-VPN to zdalny dostęp do sieci firmy przez przeglądarkę lub aplikację, szyfrowany jak bankowość internetowa. Wstrzyknięcie poleceń to błąd, w którym wpisany tekst zostaje wykonany jako polecenie systemu. Konto „nobody” to systemowe konto o minimalnych uprawnieniach. Oprogramowanie układowe (firmware) to system działający wewnątrz urządzenia. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator zmienia ustawienia SSL-VPN | Urządzenie zapisuje ustawienia | Wraz z ustawieniami może wykonać dopisane polecenie |
Napastnik zdobył hasło administratora (np. inną luką lub wyciekiem) | Może zmieniać konfigurację | Może też wykonywać własny kod na urządzeniu |
Pracownicy łączą się z domu | Bezpieczny tunel do sieci firmy | Urządzenie może być przyczółkiem napastnika |
Obejście do czasu aktualizacji | Zwykle jakieś istnieje | Wg producenta brak |
„To jest za VPN-em, więc bezpieczne” | Uspokaja | Nie dotyczy, bo to urządzenie samo jest VPN-em |
źródło: Pexels, Roy SerafinPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga uprawnień administratora, więc napastnik musi je najpierw zdobyć: przez wyciek lub zgadnięcie hasła, przejęcie sesji albo inną lukę w urządzeniu. Interfejs urządzenia jest zwykle dostępny z internetu, bo tak działa zdalny dostęp.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie urządzeń SMA 100 i ustalanie wersji | Lista podatnych celów |
2. Zdobycie uprawnień | T+godziny do dni | Pozyskanie dostępu administratora (hasło z wycieku, przejęcie sesji, inna luka) | Zalogowanie do panelu |
3. Wstrzyknięcie polecenia | T+minuty | Dopisanie polecenia do wartości w interfejsie SSL-VPN | Kod napastnika działa na urządzeniu jako „nobody” |
4. Utrwalenie | T+godziny | Pozostawienie mechanizmu powrotu, dodanie kont lub zmian w konfiguracji dostępu | Stały, cichy dostęp |
5. Rozpoznanie sieci | T+dni | Przegląd zasobów widocznych z urządzenia: dyski, serwery, systemy | Mapa sieci firmy |
6. Nadużycie | T+tygodnie do miesięcy | Kradzież danych, przejmowanie kont pracowników, przygotowanie dalszego ataku | Wyciek i koszty incydentu |
Urządzenie zdalnego dostępu musi być widoczne z internetu i jednocześnie zna drogę do środka sieci. Przejęte nie przestaje działać, tylko działa także dla kogoś niewłaściwego. Warunek „trzeba być administratorem” bywa pozornym zabezpieczeniem, bo hasło administratora da się zdobyć na wiele sposobów, a obserwowane ataki nie musiały kończyć się ransomware, by być groźne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność odtworzenia urządzenia, przerwa w pracy zdalnej | Dni | 10 tys. do 100 tys. PLN (odtworzenie, przestój pracy zdalnej) |
Bezpieczeństwo danych | Dostęp do sieci wewnętrznej, kradzież danych i poświadczeń pracowników | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty incydentu, możliwe oszustwa i dalsze ataki | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SonicWall SMA 100 z firmware
10.2.1.9-57sv lub starszym
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest wykorzystywana, EPSS wynosi ok. 75%, a urządzenie stoi na granicy sieci; nie jest krytyczne, bo atak wymaga uprawnień administratora, a polecenia wykonują się na koncie o niskich uprawnieniach.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy w firmie jest SMA 200, 210, 400, 410 lub 500v, i odczytać wersję firmware | Dziś | Administrator sieci / partner IT |
2 | 🔴 NATYCHMIAST | Zaktualizować firmware do 10.2.1.10-62sv lub nowszego | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć logowania administracyjne od grudnia 2023 roku: nietypowe kraje, godziny, nieznane konta (zalecenie producenta) | Dziś | Administrator sieci / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Zmienić hasła wszystkich administratorów urządzenia i włączyć uwierzytelnianie wieloskładnikowe | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Ograniczyć dostęp do panelu administracyjnego do zaufanych adresów, jeśli jest dostępny z internetu | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Sprawdzić zmiany w konfiguracji dostępu i listę użytkowników SSL-VPN | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wprowadzić zasadę: urządzenia brzegowe aktualizowane w pierwszej kolejności, bez czekania na doniesienia o atakach | Do 30 dni | CTO |
SonicWall wydał poprawione oprogramowanie 10.2.1.10-62sv i stwierdza, że obejścia nie ma. Poniższe miary tylko utrudniają zdobycie uprawnień administratora, które są warunkiem ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Panel administracyjny dostępny tylko z sieci firmy | Średnia do wysokiej wobec napastników z internetu | Łatwa |
Nowe, unikalne hasła administratorów i uwierzytelnianie wieloskładnikowe | Średnia: utrudnia zdobycie uprawnień, zwłaszcza po uwzględnieniu CVE-2023-5970 | Łatwa |
Ograniczenie liczby kont administracyjnych do minimum | Średnia | Łatwa |
Codzienny przegląd logowań administracyjnych | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Firmware | 10.2.1.9-57sv lub starszy | 10.2.1.10-62sv lub nowszy |
Hasła administratorów | Mogły wyciec lub być słabe | Nowe, z drugim składnikiem |
Historia logowań | Nieprzejrzana | Przejrzana od grudnia 2023 roku |
Panel administracyjny | Dostępny z internetu | Tylko z zaufanych adresów |
Zgodność z terminem CISA | Zaległość sprzed prawie 16 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); SonicWall 29.04.2025 dopisał, że z zaufanymi partnerami ustalił potencjalne wykorzystanie w atakach |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.2/10 WYSOKA (CVSS 3.1, NVD i CISA; producent: 7.2 w CVSS 3.0) |
PoC dostępny publicznie? | Brak publicznych informacji w materiałach źródłowych |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka w biuletynie | CVE-2023-5970, ocena 6.3: ominięcie uwierzytelniania wieloskładnikowego |
Prognoza EPSS | Ok. 75% szansy próby wykorzystania w ciągu 30 dni, percentyl ok. 99,5 (odczyt z 24.08.2026, wg analizy źródłowej) |
Uwaga: brak potwierdzenia ransomware nie oznacza braku zagrożenia. Obserwowane działania mogą mieć charakter cichego, długotrwałego dostępu.
Sygnały zagrożenia dla CVE-2023-44221
CVSS 3.1 (NVD) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~75% ███████████████░░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
Wymagane uprawnienia ADMIN do zdobycia inną drogą 2023-12-04 SonicWall publikuje biuletyn SNWLID-2023-0018 z poprawką
2023-12-05 Publikacja CVE-2023-44221 w NVD
... 17 miesięcy bez informacji o atakach
2025-04-29 SonicWall aktualizuje biuletyn: potencjalne wykorzystanie w atakach
2025-05-01 CISA dodaje lukę do KEV (tego dnia także CVE-2024-38475 w Apache HTTP Server)
2025-05-22 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-44221 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa SonicWall SMA serii 100 | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji firmware i dacie aktualizacji | CTO | DZISIAJ |
3 | Zlecić przegląd logowań administratorów od grudnia 2023 roku | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe i komunikat do pracowników pracujących zdalnie | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić, czy urządzenie ma aktywne wsparcie producenta i licencję na aktualizacje | CFO | DO JUTRA |
7 | Sprawdzić wymagania polisy cyberubezpieczenia dotyczące urządzeń zdalnego dostępu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenie SonicWall SMA 200, 210, 400, 410 lub 500v? | TAK / NIE | 🔴 |
2 | Jaka jest wersja firmware? | [wersja] | 🔴 |
3 | Czy przejrzano logowania administracyjne od grudnia 2023 roku? | TAK / NIE | 🔴 |
4 | Czy są konta administratorów, których nikt nie pamięta? | TAK / NIE | 🔴 |
5 | Czy panel administracyjny jest dostępny z internetu? | TAK / NIE | 🟠 |
6 | Czy administratorzy logują się z drugim składnikiem? | TAK / NIE | 🟠 |
7 | Kiedy firmware był aktualizowany poprzednio? | [data] | 🟡 |
CVE-2023-44221 pozwala osobie z uprawnieniami administratora wykonać własne polecenia na urządzeniu SonicWall SMA 100, a od 2025 roku luka jest wykorzystywana w atakach, choć poprawka istnieje od grudnia 2023 roku. Obejścia nie ma, więc dziś trzeba wgrać firmware 10.2.1.10-62sv lub nowszy, przejrzeć logowania administratorów i zabezpieczyć ich konta.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.