Błąd w interfejsie bramek SonicWall SMA100 pozwala zalogowanemu użytkownikowi wstrzyknąć polecenia systemowe. CISA potwierdza ataki i ocenia skutek jako możliwe wykonanie kodu. Zaktualizuj bramkę i przejrzyj konta.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom zdalny dostęp przez bramki SonicWall SMA100 (SMA 200, 210, 400, 410, 500v). Werdykt: jeśli bramka ma oprogramowanie starsze niż wersje z poprawką, zaktualizuj ją w tym tygodniu i przejrzyj konta użytkowników, bo luka jest aktywnie wykorzystywana, a CISA ocenia jej skutek poważniej niż pierwotny opis producenta.
Amerykańska agencja CISA 16 kwietnia 2025 roku dopisała CVE-2021-20035 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd z 2021 roku siedzi w interfejsie zarządzania bramek SonicWall SMA100 do zdalnego dostępu. Zalogowany napastnik może wstrzyknąć polecenia systemowe, które wykonują się jako użytkownik o niskich uprawnieniach „nobody”.
Opis w NVD, powtarzający dane producenta, mówi o skutku w postaci zawieszenia urządzenia (odmowy usługi). Katalog CISA opisuje ten sam błąd jako mogący prowadzić do wykonania kodu, a ocena CISA mówi o całkowitym skutku technicznym. Przez 3,5 roku luka uchodziła za średnio ważną, a od kwietnia 2025 roku ma termin naprawy, który minął 7 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-20035 (biuletyn SonicWall SNWLID-2021-0022) |
Data dodania do CISA KEV | 2025-04-16 |
Termin naprawy wg CISA | 2025-05-07 (21 dni od wpisu) |
Produkt | SonicWall SMA100: SMA 200, SMA 210, SMA 400, SMA 410 i wirtualna SMA 500v, interfejs zarządzania |
Wersje zagrożone | Wg NVD: starsze niż 9.0.0.11-31sv; 10.2.0.0 do 10.2.0.8-37sv (bez niej); 10.2.1.0 do 10.2.1.1-19sv (bez niej). Wg bazy europejskiej: 9.0.0.10-28sv i starsze, 10.2.0.7-34sv i starsze, 10.2.1.0-17sv i starsze. Warunek: ważne dane logowania |
Wersje bezpieczne | 9.0.0.11-31sv, 10.2.0.8-37sv, 10.2.1.1-19sv lub nowsze; ze względu na rozbieżności między bazami zalecana najnowsza wersja oprogramowania dostępna dla modelu |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego; CWE-78 (zgodnie wg SonicWall, NVD i CISA) |
Ocena CVSS | 6.5 ŚREDNIA (CVSS 3.1), identycznie wg NVD i CISA; cały wynik z utraty dostępności. NVD (CVSS 2.0): 6.8. Atak przez sieć, niska złożoność, wymagane niskie uprawnienia |
Wyobraź sobie furtkę w płocie wokół firmy, przy której stoi automat wpuszczający pracowników z kartą. Na panelu automatu jest pole do wpisania numeru pokoju. Okazało się, że jeśli po numerze wpisze się odpowiednio sformułowane polecenie, automat je wykona, na przykład zablokuje furtkę dla wszystkich. Wpisać coś może tylko ktoś z ważną kartą, ale kart jest wiele, a część należy do osób, które już nie pracują.
Bramka SMA100 to właśnie taka furtka dla pracowników pracujących z domu. Interfejs zarządzania przekazywał dane wpisane przez zalogowanego użytkownika do poleceń systemowych bez sprawdzenia znaków specjalnych. Producent opisał skutek jako zawieszenie urządzenia, a CISA jako możliwe wykonanie kodu, czyli pozostanie napastnika w środku. Firma powinna planować według wersji poważniejszej.
💡 SMA (Secure Mobile Access) to bramka, przez którą pracownicy łączą się z siecią firmy spoza biura. Wstrzyknięcie poleceń to sytuacja, gdy dane wpisane przez użytkownika są wykonywane przez system jako komendy. Konto „nobody” to systemowe konto o bardzo niskich uprawnieniach. Odmowa usługi (DoS) oznacza, że urządzenie przestaje działać. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zalogowany użytkownik korzysta z interfejsu | Zmienia ustawienia w zakresie uprawnień | Może wstrzyknąć polecenia systemowe |
Skutek według producenta | Brak | Zawieszenie bramki, pracownicy tracą zdalny dostęp |
Skutek według CISA | Brak | Możliwe wykonanie kodu, napastnik zostaje na urządzeniu |
Konto byłego pracownika | Nieaktywne, bez znaczenia | Wystarcza do spełnienia warunku ataku |
Ocena 6.5 „średnia” | Powód do odłożenia prac | Luka w katalogu potwierdzonych ataków z terminem naprawy |
źródło: Pexels, Victoria BowersPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga ważnych danych logowania, więc zaczyna się od ich zdobycia; CISA ocenia go jako nieautomatyzowalny, czyli prowadzony wobec wybranych celów.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T-dni do tygodni | Wyłudzenie hasła, zgadywanie haseł, użycie wycieku lub konta byłego pracownika | Login i hasło do bramki SMA |
2. Logowanie | T+0 min | Wejście do interfejsu bramki z internetu | Sesja zalogowanego użytkownika |
3. Wstrzyknięcie | T+kilka minut | Wysłanie spreparowanych wartości do interfejsu zarządzania | Polecenia wykonane jako „nobody” |
4a. Wariant awarii | T+minuty | Zawieszenie usługi | Pracownicy bez zdalnego dostępu |
4b. Wariant przejęcia | T+godziny do dni | Uruchomienie własnego kodu, poszukiwanie kolejnych błędów, utrwalenie dostępu | Napastnik na bramce na granicy sieci |
5. Dalszy atak | T+dni do tygodni | Rozpoznanie sieci wewnętrznej i kradzież danych | Wyciek, przygotowanie większego ataku |
Bramka dostępu zdalnego stoi w internecie przez całą dobę i jest jedyną drogą pracowników do systemów firmy spoza biura. Nawet w łagodniejszym wariancie (zawieszenie) oznacza przestój, a w poważniejszym (wykonanie kodu) napastnika na granicy sieci. Bramki kupuje się zwykle raz i zapomina, że mają oprogramowanie wymagające aktualizacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak zdalnego dostępu dla pracowników, przestój pracy hybrydowej | Minuty do godzin | 5 tys. do 80 tys. PLN (przestój, przesunięte terminy) |
Bezpieczeństwo danych | Przy wykonaniu kodu: obserwacja ruchu, wejście do sieci wewnętrznej | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, ewentualna wymiana urządzenia bez wsparcia | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Niedotrzymane terminy wobec klientów, pytania o bezpieczeństwo | Tygodnie do miesięcy | 10 tys. do 150 tys. PLN (utracone zlecenia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, jeśli dojdzie do dostępu do danych, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SMA100 bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE (wariant CISA: wykonanie kodu)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ przyjęto według poważniejszej wersji opisu (wykonanie kodu na bramce), a prawdopodobieństwo jako średnie, bo atak wymaga ważnego konta i nie jest automatyzowany, choć EPSS plasuje lukę wyżej niż 90% skatalogowanych podatności.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić model i dokładny numer wersji oprogramowania każdej bramki SMA100 | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do interfejsu zarządzania do sieci firmowej lub zaufanych adresów | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zaktualizować oprogramowanie do wersji wyższej niż najwyższy numer podatny w którejkolwiek bazie (najlepiej najnowszej dla modelu) | Do 3 dni | Administrator / partner SonicWall |
4 | 🟠 PILNIE | Przejrzeć listę kont i wyłączyć te nieużywane od 6 miesięcy oraz konta byłych pracowników | Do 3 dni | Administrator / kadry |
5 | 🟠 PILNIE | Zmienić hasła wszystkich kont na bramce i włączyć drugi składnik logowania, jeśli urządzenie go obsługuje | Do 7 dni | Administrator |
6 | 🟠 PILNIE | Przejrzeć dzienniki bramki pod kątem nietypowych logowań, nowych kont i restartów | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Sprawdzić, czy model ma wsparcie producenta; jeśli nie, zaplanować wymianę (zalecenie CISA: zaprzestać używania) | Do 30 dni | CTO / CFO |
SonicWall wydał poprawione wersje oprogramowania dla SMA100 (9.0.0.11-31sv, 10.2.0.8-37sv, 10.2.1.1-19sv), więc aktualizacja jest dostępna dla wspieranych urządzeń. Dla urządzeń, których nie da się zaktualizować, CISA zaleca zaprzestanie używania. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do interfejsu zarządzania tylko z sieci firmowej lub zaufanych adresów | Wysoka wobec napastników z internetu | Łatwa do średniej |
Drugi składnik logowania i usunięcie zbędnych kont | Średnia do wysokiej: utrudnia spełnienie warunku ataku | Średnia |
Monitorowanie logowań i restartów bramki | Niska jako ochrona, przydatne do wykrycia | Łatwa |
Wymiana urządzenia bez wsparcia | Wysoka | Trudna: koszt i wdrożenie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Oprogramowanie bramki | Wersja podatna lub „w szarej strefie” między bazami | Najnowsza wersja dla modelu |
Konta użytkowników | Także byłych pracowników, samo hasło | Tylko aktywne, z drugim składnikiem |
Interfejs zarządzania | Dostępny z internetu | Tylko z sieci firmowej |
Wiedza o nadużyciach | Brak | Dzienniki przejrzane |
Odpowiedzialność za urządzenie | „Kupione raz, działa” | Wskazany właściciel i harmonogram aktualizacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, nieautomatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.5 ŚREDNIA (CVSS 3.1, NVD i CISA); 6.8 wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Rozbieżność opisu skutku | NVD i producent: odmowa usługi; katalog CISA: możliwe wykonanie kodu. Treści aktualnego biuletynu SonicWall nie udało się zweryfikować |
Prognoza EPSS | Około 4% szansy próby wykorzystania w ciągu 30 dni, wyżej niż 90% skatalogowanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2021-20035
CVSS 3.1 (NVD, CISA) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (analiza źr.) ~4% █░░░░░░░░░░░░░░░░░░░ top 10%
Skutek wg CISA TOTAL ████████████████████ wykonanie kodu
CISA KEV TAK ████████████████████ ataki potwierdzone
Wiek luki ~5 lat ████████████████████ stare bramki nadal w użyciu 2021-09-27 Publikacja CVE-2021-20035 w NVD, biuletyn SNWLID-2021-0022
2025-04-16 CISA dodaje lukę do katalogu KEV
2025-04-17 Ocena CISA: wykorzystanie aktywne, skutek całkowity
2025-05-07 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn SonicWall: SNWLID-2021-0022 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-20035 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa bramek SonicWall SMA100 do zdalnego dostępu | CTO | DZISIAJ |
2 | Uzyskać pisemnie model i dokładny numer wersji oprogramowania | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie dostępu do interfejsu zarządzania | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację i uprzedzić pracowników o przerwie | CTO | DO JUTRA |
5 | Przekazać IT listę osób, które odeszły z firmy w ostatnich 2 latach | CFO / kadry | DO JUTRA |
6 | Sprawdzić datę końca wsparcia bramki i przygotować wycenę wymiany | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie modele SonicWall SMA100 mamy i na jakich wersjach oprogramowania? | [model], [wersja] | 🔴 |
2 | Czy wersja jest wyższa niż 9.0.0.11-31sv, 10.2.0.8-37sv lub 10.2.1.1-19sv w swojej gałęzi? | TAK / NIE | 🔴 |
3 | Czy interfejs zarządzania jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Ile kont jest na bramce i ile z nich nie było używanych od pół roku? | [liczba], [liczba] | 🟠 |
5 | Czy logowanie wymaga drugiego składnika? | TAK / NIE | 🟠 |
6 | Czy dzienniki bramki wykazują nietypowe logowania lub nieplanowane restarty? | TAK / NIE | 🟠 |
7 | Do kiedy producent wspiera nasz model bramki? | [data] | 🟡 |
CVE-2021-20035 pozwala zalogowanemu użytkownikowi bramki SonicWall SMA100 wstrzyknąć polecenia systemowe, co według producenta kończy się zawieszeniem urządzenia, a według CISA może prowadzić do wykonania kodu. Luka jest aktywnie wykorzystywana, a termin CISA minął 7 maja 2025 roku. W tym tygodniu trzeba zaktualizować bramkę do najnowszej wersji, ograniczyć dostęp do interfejsu zarządzania i uporządkować konta użytkowników.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.