Błąd w SSLVPN systemu SonicOS pozwala wejść do sieci firmy bez konta i hasła. Publiczny kod istnieje, CISA potwierdza użycie w ransomware. Sprawdź wersję zapory i zaktualizuj ją dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom zdalny dostęp przez VPN na zaporach SonicWall (SSLVPN w systemie SonicOS). Werdykt: jeśli zapora siódmej generacji lub TZ80 działa na wersji starszej niż 7.1.3-7015 (lub 8.0.0-8037 dla TZ80), zaktualizuj ją lub ogranicz dostęp do SSLVPN dziś, bo luka pozwala wejść do sieci firmy bez hasła i jest używana w atakach ransomware.
Amerykańska agencja CISA 18 lutego 2025 roku dopisała podatność CVE-2024-53704 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, z adnotacją, że luka jest używana w kampaniach ransomware. Błąd dotyczy mechanizmu logowania SSLVPN, czyli modułu, przez który pracownicy łączą się z siecią firmy spoza biura. Napastnik z dostępem do portalu VPN może obejść logowanie, bez konta, hasła i bez udziału pracownika.
Producent opublikował biuletyn 7 stycznia 2025 roku, a 30 stycznia odnotował, że publicznie dostępny jest kod pokazujący wykorzystanie błędu. Termin naprawy wg CISA minął 11 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-53704 (biuletyn producenta SNWLID-2025-0003) |
Data dodania do CISA KEV | 2025-02-18 |
Termin naprawy wg CISA | 2025-03-11 (21 dni od wpisu) |
Produkt | SonicWall SonicOS, moduł SSLVPN na zaporach siódmej generacji (TZ270 do TZ670, NSa 2700 do 6700, NSsp 10700 do 15700), maszynach wirtualnych NSv 270, 470, 870 oraz TZ80 |
Wersje zagrożone | SonicOS 7.1.1-7058 i starsze, 7.1.2-7019 oraz 8.0.0-8035 (TZ80), przy włączonym SSLVPN dostępnym z sieci. Urządzenia SMA100 i SMA1000 nie są podatne. Uwaga: maszynowy zapis NVD obejmuje węższy zakres niż biuletyn producenta, więc skaner może nie oznaczyć części podatnych urządzeń |
Wersje bezpieczne | Siódma generacja i NSv: SonicOS 7.1.3-7015 i nowsze. TZ80: 8.0.0-8037 i nowsze. Najnowszą dostępną wersję sprawdź w portalu SonicWall |
Typ podatności | Niepoprawne uwierzytelnianie (obejście logowania), CWE-287 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, pełny wpływ). SonicWall: 8.2 (CVSS 3.1, WYSOKA, niewielki wpływ na poufność, pełny na dostępność). Obie: atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie biurowiec z bramką na kartę przy wejściu. Pracownik przykłada kartę, system sprawdza, czy jest ważna, i otwiera bramkę. Luka w SonicWall przypomina sytuację, w której ktoś odkrył, że bramkę da się otworzyć bez żadnej karty, a system i tak zapisuje wejście jako prawidłowe. Za bramką są wszystkie piętra, w tym te, które „nigdy nie były widoczne z ulicy”.
SSLVPN z założenia jest wystawiony do internetu, bo pracownicy łączą się z domu i z hoteli. Dlatego każdy błąd w jego logowaniu oznacza, że napastnik wchodzi do sieci firmy tą samą drogą co pracownik, z pominięciem hasła i uwierzytelniania wieloskładnikowego.
💡 SSLVPN to szyfrowane połączenie przez przeglądarkę lub aplikację, które daje pracownikowi dostęp do sieci firmy z dowolnego miejsca. Obejście uwierzytelnienia oznacza wejście bez podania prawidłowych danych logowania. PoC (proof of concept) to publiczny kod pokazujący, jak wykorzystać lukę. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik łączy się z domu | Podaje login, hasło i drugi składnik | Tak samo, nic nie zauważa |
Obca osoba próbuje połączyć się z VPN | Odrzucona, próba w logach | Może wejść bez hasła i konta |
Uwierzytelnianie wieloskładnikowe (MFA) | Chroni przed skradzionym hasłem | Nie pomaga, bo logowanie jest omijane |
Systemy „tylko w sieci wewnętrznej” | Niedostępne z zewnątrz | Dostępne dla napastnika po wejściu |
Skaner podatności | Pokazuje stan zgodny z biuletynem | Może nie oznaczyć wersji 7.1.2-7019 i 8.0.0-8035 |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności, a nie odtworzenie konkretnego incydentu. Portal SSLVPN jest dostępny z internetu, atak nie wymaga konta, a CISA ocenia go jako możliwy do zautomatyzowania. Od 30 stycznia 2025 roku istnieje publiczny kod, więc próg wejścia dla przestępców jest niski.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Masowe wyszukiwanie w internecie portali SSLVPN SonicWall i ustalanie wersji | Lista podatnych zapór |
2. Wejście | T+kilka minut | Obejście logowania na podatnej zaporze | Dostęp do sieci firmy jak pracownik z VPN |
3. Rozpoznanie sieci | T+godziny do 2 dni | Przegląd serwerów, udziałów plikowych, kont i kopii zapasowych | Mapa najcenniejszych zasobów |
4. Utrwalenie | T+1 do 5 dni | Założenie własnych kont, zmiany reguł, dodatkowe drogi powrotu | Dostęp niezależny od luki |
5. Kradzież danych | T+3 do 10 dni | Kopiowanie dokumentów i baz danych | Dane poza firmą |
6. Szyfrowanie i szantaż | T+1 do 3 tygodni | Uruchomienie ransomware i żądanie okupu | Przestój i żądanie zapłaty |
Zapora z VPN to główne wejście do sieci firmy i jedyny element infrastruktury, którego adres zna cały internet. Luka w logowaniu na tym wejściu neutralizuje hasła i MFA, a potwierdzone użycie w ransomware pokazuje, że napastnicy nie ograniczają się do podglądania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery i stanowiska, zatrzymana sprzedaż, produkcja i księgowość | Dni do tygodni od wejścia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, pracowników, umów i dokumentów finansowych | Dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, publikacja danych przez przestępców, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zapory SonicWall z SSLVPN
dostępnym z internetu i SonicOS bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (atak bez logowania, publiczny kod, automatyzacja, EPSS około 95%), a wpływ krytyczny (wejście do sieci firmy, potwierdzone ransomware); zapora z aktualnym SonicOS lub z SSLVPN ograniczonym do zaufanych adresów wychodzi z tego pola.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Odczytać z panelu zapory model i dokładną wersję SonicOS oraz sprawdzić, czy SSLVPN jest włączony | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest podatna: ograniczyć SSLVPN do zaufanych adresów albo czasowo wyłączyć dostęp z internetu (zalecenie producenta) | Dziś | Administrator zapory |
3 | 🔴 NATYCHMIAST | Zaktualizować SonicOS do 7.1.3-7015 lub nowszej (TZ80: 8.0.0-8037 lub nowszej) | Do 2 dni | Administrator / partner IT |
4 | 🟠 PILNIE | Przeszukać dziennik SSL VPN pod kątem wpisów o ponownym użyciu sesji wskazanych w biuletynie producenta, od stycznia 2025 roku | Do 3 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli wpisy się znajdą: zlecić analizę powłamaniową sieci wewnętrznej (nowe konta, zmienione reguły, pobrane dane) | Do 7 dni | Zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane od sieci dostępnej przez VPN | Do 14 dni | CTO / administrator |
7 | 🟡 WAŻNIE | Wprowadzić kwartalną kontrolę wersji oprogramowania zapory | Do 30 dni | CTO |
Producent wydał poprawione wersje SonicOS dla wszystkich podatnych modeli, więc docelowo trzeba je wgrać. Do czasu okna serwisowego producent wskazuje obejście: odcięcie SSLVPN od internetu albo ograniczenie go do zaufanych adresów. Oceny poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie dostępu do SSLVPN z internetu (zalecenie producenta) | Wysoka: usuwa drogę ataku | Łatwa, ale zatrzymuje pracę zdalną |
Ograniczenie SSLVPN do listy zaufanych adresów (zalecenie producenta) | Wysoka, jeśli lista jest krótka i aktualna | Średnia: wymaga stałych adresów pracowników |
Codzienny przegląd dziennika SSL VPN pod kątem wpisów wskazanych przez producenta | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Tymczasowe przejście pracowników na inną, niepodatną metodę dostępu zdalnego | Średnia do wysokiej | Trudna: wymaga przygotowania |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wejście przez VPN | Możliwe bez hasła | Wymaga prawidłowego logowania |
Rola MFA | Omijana | Znów realnie chroni dostęp |
Wiedza o wcześniejszym włamaniu | Brak | Przejrzany dziennik SSL VPN od stycznia 2025 |
Widoczność portalu VPN | Cały internet | Aktualne oprogramowanie lub lista zaufanych adresów |
Zgodność z terminem CISA | Zaległość ponad 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia atak jako możliwy do automatyzacji |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w użytych źródłach |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD; 8.2 WYSOKA wg SonicWall (obie CVSS 3.1) |
PoC dostępny publicznie? | TAK, od 30 stycznia 2025 roku (odnotowane w aktualizacji biuletynu producenta) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Daan Keuper, Thijs Alkemade i Khaled Nassar z Computest Security przez Trend Micro Zero Day Initiative |
Prognoza EPSS | Około 95% szansy próby w ciągu miesiąca, powyżej 99,8% wszystkich podatności (wg analizy źródłowej) |
Różnica ocen CVSS dotyczy tego, co napastnik zrobi po wejściu. Potwierdzone użycie w ransomware pokazuje, że planowanie warto oprzeć na ocenie surowszej.
Sygnały zagrożenia dla CVE-2024-53704
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (SonicWall) 8.2/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~95% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny kod (PoC) TAK ████████████████████ od 2025-01-30
Ransomware (CISA) Known ████████████████████ używana 2025-01-07 SonicWall publikuje biuletyn SNWLID-2025-0003 z poprawkami
2025-01-09 Publikacja CVE-2024-53704 w NVD
2025-01-30 Producent odnotowuje publicznie dostępny kod wykorzystania
2025-02-18 CISA dodaje lukę do katalogu KEV, ransomware: Known
2025-03-11 Termin naprawy wg CISA
... ponad 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z listą modeli, wersji i obejściem: psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0003 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-53704 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa zapór SonicWall z włączonym SSLVPN | CTO | DZISIAJ |
2 | Uzyskać pisemnie model i wersję SonicOS odczytaną z panelu urządzenia, nie tylko wynik skanera | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie SSLVPN do zaufanych adresów, jeśli wersja jest podatna | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację SonicOS | CTO | DO JUTRA |
5 | Zlecić przegląd dziennika SSL VPN od stycznia 2025 i przedstawienie wyniku na piśmie | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model zapory SonicWall i jaką dokładnie wersję SonicOS mamy? | [model], [wersja] | 🔴 |
2 | Czy SSLVPN jest włączony i dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowano SonicOS do wersji 7.1.3-7015 lub nowszej (TZ80: 8.0.0-8037)? | [data] | 🔴 |
4 | Czy przeszukano dziennik SSL VPN pod kątem wpisów wskazanych w biuletynie i z jakim wynikiem? | TAK / NIE, [wynik] | 🟠 |
5 | Czy mamy urządzenia SMA100 lub SMA1000 i czy ktoś odróżnia je od zapory przy tej luce? | TAK / NIE | 🟠 |
6 | Czy na zaporze lub w domenie pojawiły się od stycznia 2025 nieznane konta lub zmiany reguł? | TAK / NIE | 🟠 |
7 | Czy kopie zapasowe są niedostępne z sieci, do której prowadzi VPN? | TAK / NIE | 🟡 |
CVE-2024-53704 pozwala wejść do sieci firmy przez SSLVPN SonicWall bez hasła i konta. Publiczny kod istnieje od stycznia 2025 roku, CISA potwierdza użycie w ransomware, a termin naprawy minął 11 marca 2025 roku, więc sprawdzenie wersji, ograniczenie VPN i aktualizacja to zadania na dziś, a przegląd dziennika SSL VPN na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.