SonicWall修补网管软件指令执行漏洞

网络设备商SonicWall上周(5/27)针对其设备管理软件上,一个可能让黑客在设备上执行指令的重大漏洞,发布修补程序。

出现问题的是管理SonicWall所有设备的网络安全管理员(Network Security Manager,NSM)软件。编号CVE-2021-20026的漏洞是一举令注入漏洞,可能让经过验证的攻击者发出假造的HTTP调用,而在操作系统上以根权限执行指令。该漏洞CVSS 3.1风险评分为8.8。

NSM可以在本地部署或以云计算(SaaS)执行,不过这次漏洞仅影响NSM本地部署版本2.2.0-R10及之前版本。SaaS版则不受影响。

SonicWall已在本周发布Network Security Manager (NSM) 2.2.1版,也呼吁本地部署NSM的SonicWall企业管理员尽快更新。

这是SonicWall今年以来最新修补的产品漏洞。今年1月22日SonicWall公告小型企业用SSL VPN产品SMA 100系列的漏洞遭黑客发动攻击,之后则证明受影响设备涵盖MA200、210、400、410实体设备及SMA500v虚拟设备(Azure、AWS、AWS ESXi、HyperV),迫使该公司二度修补。

参考资料(如需详细信息请洽厂商)

影响SonicWall Network Security Manager(NSM) 的CVE-2021-20026官方修补信息(2021-05-27公告):https://www.sonicwall.com/support/product-notification/security-advisory…

SMA 100 Series 10.X And9.X Firmware官方修补信息(2021-01-22公告、2021-04-29更新):https://www.sonicwall.com/support/product-notification/additional-sma -10…

发表评论