超过 17.8万个 SonicWall防火墙易受到DoS和潜在RCE攻击
内容提要
据BleepingComputer报道，超过17.8万个SonicWall下一代防火墙存在拒绝服务和远程代码执行漏洞，可能导致设备进入维护模式，禁用边缘防火墙和VPN访问。建议管理员确保设备管理界面不在线公开，并尽快升级固件版本。
延伸解读
漏洞利用门槛与潜在影响
文章指出，这两个漏洞本质相同，但可在不同的HTTP URI路径上被利用。即使攻击者无法实现远程代码执行，也能强制设备进入维护模式，导致边缘防火墙和VPN访问被禁用。这意味着攻击者无需复杂利用链即可造成业务中断，对于依赖SonicWall提供远程接入的企业，可能直接切断分支或远程员工的连接。
暴露面数据揭示的风险集中度
根据扫描数据，在233984个管理界面暴露于互联网的SonicWall防火墙中，有178637个（76%）受一个或两个漏洞影响。同时，Shadowserver数据显示超过50万个SonicWall防火墙暴露在网络上，其中美国占32.8万个。这组数字说明，管理界面在线公开是漏洞可被远程利用的关键前提，减少暴露面能显著降低风险。
PoC公开与历史攻击背景
虽然SonicWall PSIRT表示不知道这些漏洞已在野外被利用，但至少有一个针对CVE-2022-22274的概念验证漏洞可在线获取。文章还提到，SonicWall设备此前多次成为网络间谍攻击和勒索软件组织（包括HelloKitty和FiveHands）的目标。PoC的公开可能降低攻击门槛，结合历史攻击记录，管理员不宜因“未在野利用”而放松警惕。
缓解措施：管理界面与固件升级
文章建议管理员确保SonicWall NGFW设备的管理界面不在线公开，并尽快升级到最新固件版本。这两项措施分别针对暴露面和漏洞修复：前者减少攻击者接触管理界面的机会，后者直接消除漏洞。对于无法立即升级的设备，限制管理界面访问是降低被利用风险的有效补充。
Q&A
哪些SonicWall防火墙漏洞会导致设备进入维护模式？
CVE-2022-22274和CVE-2023-0656这两个拒绝服务漏洞可以被利用来强制设备进入维护模式，需要管理员干预才能恢复标准功能。
有多少SonicWall防火墙暴露在互联网上且容易受到攻击？
根据扫描，超过17.8万个SonicWall下一代防火墙的管理界面暴露于互联网，且容易受到一个或两个漏洞的影响。目前有超过50万个SonicWall防火墙暴露在网络上，其中美国占32.8万个。
攻击者利用这些漏洞能造成什么后果？
攻击者可以利用漏洞强制设备进入维护模式，从而禁用边缘防火墙及其向企业网络提供的VPN访问，即使无法执行代码也能造成拒绝服务。
SonicWall防火墙漏洞是否已在野外被利用？
SonicWall产品安全事件响应团队表示不知道这些漏洞已在野外被利用，但至少有一个针对CVE-2022-22274的概念验证漏洞可在线获取。
管理员应如何缓解SonicWall防火墙的漏洞风险？
建议管理员确保SonicWall NGFW设备的管理界面不在线公开，并尽快升级到最新的固件版本。
SonicWall的客户群体主要有哪些？
SonicWall的客户包括来自超过215个国家和地区的50多万家企业，其中包括政府机构和全球一些大型公司。
