SonicWall signale deux failles de sécurité majeures sous exploitation active

SonicWall a signalé lundi deux failles de sécurité majeures dans ses appliances Secure Mobile Access série 1000, qui, selon elle, sont toutes deux activement exploitées, et a publié des correctifs pour chacune. Les consultants ont qualifié de très troublantes ces failles, dont l’une permet des attaques à distance qui contournent l’authentification.

Dans son alerte de sécurité, SonicWall a décrit la première faille, identifiée comme CVE-2026-83548 et classée 10 (critique), comme une « vulnérabilité SSRF de pré-authentification (qui) existe dans l’interface Work Place de l’appliance SMA1000 en raison d’un chemin d’accès alternatif involontaire. Un attaquant distant non authentifié pourrait potentiellement exploiter cette vulnérabilité pour obtenir un accès non autorisé à des fonctionnalités sensibles et effectuer des opérations non autorisées ».

L’alerte décrit le deuxième trou (CVE-2026-83549), dans la console de gestion des appareils SMA1000 (AMC), comme permettant à un attaquant de se faire passer pour un administrateur et ensuite « d’exécuter des commandes arbitraires du système d’exploitation, entraînant l’exécution de code à distance ». Son indice de gravité est de 7,8 (Élevé).

Il n’existe aucune solution de contournement pour ces deux bogues, qui affectent les versions 12.4.3-03453 et 12.5.0-02835 du micrologiciel. La société a conseillé aux clients de contacter le support technique pour obtenir de l’aide afin de déterminer si un appareil a déjà été compromis.

Mise à jour rapide recommandée

Les consultants et spécialistes en cybersécurité ont encouragé les équipes informatiques et de cybersécurité à patcher le plus rapidement possible, compte tenu de la nature de ces failles.

Mike Wilkes, RSSI d’entreprise chez Aikido Security, a déclaré que la possibilité qu’un attaquant obtienne le contrôle total du système, et pas seulement l’accès, est effrayante.

« La propre recommandation de SonicWall de recréer l’image des appareils compromis et de réinitialiser les mots de passe des utilisateurs et des administrateurs ainsi que les jetons TOTP illustre à quel point cette possibilité doit être prise au sérieux », a-t-il déclaré, ajoutant que le passé récent de SonicWall devrait encourager les RSSI à agir rapidement.

« Ceux-ci sont aussi critiques que possible. Je les classerais comme brûlants et nécessitent une attention immédiate », a ajouté Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions.

Il a expliqué que la raison pour laquelle il considère ces failles si graves est en partie due à la manière dont le SMA1000, un appareil d’accès mobile sécurisé, est déployé et à son accessibilité aux visiteurs Web aléatoires.

« CVE-2026-83548 permet à un acteur malveillant d’effectuer des modifications sur le système sans avoir besoin d’une quelconque authentification. En un mot, un attaquant pourrait se connecter au système et modifier les paramètres de configuration de sécurité sans avoir besoin d’informations d’identification valides », a déclaré Villanustre. « Cette vulnérabilité bouleverse complètement les contrôles, offre à un attaquant un large éventail d’opportunités et lui permet d’établir une persistance une fois la vulnérabilité corrigée. »

Le consultant en cybersécurité Brian Levine, directeur exécutif de FormerGov, est du même avis.

Le SSRF de pré-authentification « permet à un attaquant non authentifié d’atteindre des contrôles qu’il ne devrait jamais toucher, et la faille d’injection de commandes convertit cette portée en exécution complète de code sur l’appliance », a déclaré Levine. « Étant donné que ces boîtiers se trouvent à la périphérie du réseau et négocient l’accès à distance, le pire des cas est qu’un attaquant possède une passerelle de confiance et pivote directement vers le réseau interne, volant les informations d’identification et les configurations, implantant de la persistance et se déplaçant latéralement. »

Philip Harris, directeur de recherche d’IDC, était d’accord avec l’évaluation de Levine.

« Ces deux failles sont à peu près aussi graves que cela puisse l’être pour un appareil d’accès périphérique, et le fait que SonicWall les divulgue comme étant déjà activement exploitées élimine toute question quant à savoir si cela est théorique », a-t-il déclaré.

À lui seul, le SSRF de pré-authentification permet à un tiers d’accéder à des fonctionnalités internes que l’appliance n’était jamais censée exposer, a noté Harris. « Associés à l’injection de commandes du système d’exploitation dans la console de gestion de l’appliance, les deux forment une chaîne : le SSRF non authentifié met un attaquant en position pour déclencher la faille d’injection de commandes, et le résultat final est l’exécution de code à distance, en pratique en tant que root, sur un périphérique qui se trouve de par sa conception au périmètre du réseau.

Répète une chaîne d’attaques de juin

Ce qui rend cette question particulièrement importante, c’est le timing et la structure, a-t-il souligné. « Il s’agit essentiellement d’une répétition de ce qui s’est passé avec la même gamme d’appareils il y a quelques semaines à peine », a-t-il déclaré, citant la divulgation en juillet d’une chaîne d’injection de commande SSRF plus « presque identique » dans le SMA1000, que les chercheurs de Volexity ont attribuée à une exploitation à partir du 22 juin, des semaines avant l’existence d’un correctif.

« Cette chaîne antérieure a été récupérée par un groupe de menaces identifié sous le nom d’UTA0533, puis militarisée à grande échelle par l’opération de ransomware INC, qui a depuis fait environ 900 victimes dans le monde », a-t-il noté. Au cours de ces opérations, les attaquants récoltaient des informations d’identification locales, des bases de données de session et des graines TOTP MFA pour obtenir un accès persistant et difficile à expulser avant de se déplacer latéralement vers les réseaux victimes.

Et, a souligné Wilkes, ce n’est pas la seule vulnérabilité signalée ; Au cours des 12 derniers mois, 18 à 22 CVE ont été divulgués publiquement et ont affecté les produits SonicWall, ce qui a entraîné d’autres problèmes de cybersécurité, notamment des attaques de ransomware.

Il a plaisanté : « C’est un peu ironique de faire remarquer que, du point de vue de la rigidité du produit, ce n’est pas une fonctionnalité intéressante que votre portail PSIRT reçoive plus de trafic que le reste de votre site Web. »