невзлом

Срочно · SonicWall SonicOS

SonicWall SonicOS — обход SAML/MFA на SSLVPN в KEV, патч Gen7/Gen8 (SNWLID-2026-0014)

· CVE-2026-19868, CVE-2026-107154, CVE-2026-107155, CVE-2026-82308, CVE-2026-77708, CVE-2026-77709, CVE-2026-19703

Суть

Бюллетень SNWLID-2026-0014 (SonicWall, 06.11.2026): семь CVE в SonicOS. Главный для срочности — CVE-2026-19868: при SAML на SSLVPN пользователь с валидными учётными данными альтернативного метода аутентификации может обойти SAML-контроли и SAML-enforced MFA. Это не «вход без учётки».

В том же релизе: CVE-2026-107154 / 107155 (management, CVSS 8.8, UI:R), CVE-2026-82308 (pre-auth SSL-VPN heap → app DoS, 7.5), CVE-2026-77708 / 77709 (pre-auth TACACS+ → DoS, 5.9), CVE-2026-19703 (слабый hashing на virtual appliances, local PR:H, 5.2).

Оценка страницы advisory — CVSS 8.8. По 19868 вендор даёт 7.1; в NVD/CNA встречается 7.5 — для действий опирайтесь на версии патча и KEV, не на спор баллов.

Затронуто и исправлено

ЛинияЗатронутоFixed
Gen7 hardware + NSv7.3.3-7015 и ниже7.3.4-7013 и выше
Gen8 hardware + NSv8.2.2-8015 и ниже8.2.3-8015 и выше

Модели (вендор): Gen7 TZ 270…670 / NSa 2700…6700 / NSsp 10700…15700 / NSv 270·470·870; Gen8 TZ 80…680 / NSa 2800…5800 / NSv XS·S·M·L (ESX, KVM, Hyper-V, AWS, Azure). NSsp в advisory — только Gen7.

CVE-2026-19868 затрагивает SSLVPN только если SAML включён для SSLVPN logins (Users → Settings / SSL VPN → Server Settings — пункт SAML/IdP по вашей прошивке; точное имя меню зависит от Gen). Остальные CVE пакета от SAML не зависят: уязвимую прошивку всё равно обновляют. Workaround: нет.

Примеры сравнения полной строки прошивки (не суффикса после - отдельно):

  • Gen7: 7.3.3-7015 — уязвима; 7.3.4-7013 — исправлена (суффикс 7015 > 7013, но линия 7.3.3 ещё уязвима).
  • Gen8: 8.2.2-8015 — уязвима; 8.2.3-8015 — исправлена (суффикс -8015 одинаковый, смотрите 8.2.2 vs 8.2.3).

Эксплуатация

  • CISA KEV: CVE-2026-19868 внесено 06.11.2026, due 20.11.2026; ransomware use — неизвестно.
  • SonicWall PSIRT: расследовал сообщение о potential exploitation 19868; upgrade ASAP.
  • ENISA EUVD / CISA SSVC (по ленте) также помечают 19868 как эксплуатируемую.
  • IoC и масштаб атак вендор/CISA в открытых материалах хода не дали.
  • PoC не обсуждаем и не ссылаемся.

Как проверить

(A) Экспозиция / условия

  1. Модель в списке Gen7/Gen8 выше.
  2. SSLVPN включён и достижим из сети атакующего (WAN или внутренняя сеть — не только «снаружи интернета»).
  3. SAML для SSLVPN logins = on → условие 19868 выполнено. SAML = off → 19868 не про вас, но пакет всё равно ставить (management / DoS / weak hash).
  4. Management UI доступен из сети атакующего → приоритет 107154/107155 выше.
  5. Критерий «экспозиция закрыта до окна»: с внешней/недоверенной сети не открываются SSLVPN-порт и management (WAN Access Rules / SSL VPN / Management).

(B) Патч

Сверьте полную Firmware Version (X.Y.Z-NNNN) в System → Status / Device → Settings → Firmware and Settings / CLI show version или show status:

  • Gen7: строка ≥ 7.3.4-7013 (пример: 7.3.3-7015 — ещё нет; не сравнивайте только 7015 с 7013).
  • Gen8: строка ≥ 8.2.3-8015 (пример: 8.2.2-8015 — ещё нет, несмотря на -8015).

Патч на месте только если полная строка ≥ fixed своей линии; иначе — раздел «Как исправить». SAML при этом может и должен остаться — это не признак провала. После upgrade: smoke SSLVPN (логин через SAML и через ваш alternate method — оба «логин ок», не «SAML выключен»), management login, на HA — версия на обеих нодах.

Как исправить

  1. Backup конфигурации; сохраните текущий firmware-image на устройстве для отката; snapshot/VM для NSv до upgrade; окно с учётом reboot.
  2. Скачайте образ только с официального MySonicWall / NSM — не сторонние зеркала и не «похожий» AMI из маркетплейса.
  3. Standalone: штатный upgrade path SonicWall. HA: по доке пары — upload образа с active / LAN VIP (уходит на оба узла); HA сам уводит idle/standby в reboot первым, затем бывший active. Не прошивайте standby вручную по monitor IP.
  4. После reboot: полная Firmware Version ≥ fixed; smoke VPN и admin. Не встало — boot предыдущего образа / rollback из сохранённого image, окно без VPN, повтор smoke.
  5. Флот MSP: группы по Gen7 vs Gen8, отдельные пакеты 7.3.4-7013 / 8.2.3-8015, общее окно, проверка версии на обеих нодах HA. Firmware Auto-Update / NSM download ≠ patched, пока нет явного boot на fixed.

Автоматической установки патча «из коробки» нет — нужен плановый rollout (вручную или schedule NSM/GMS).

Если обновить нельзя

Официального workaround нет. До окна патча — только операционные меры риска (не mitigation вендора): сузить ACL к SSLVPN и management, временно убрать SSLVPN с WAN, если бизнес позволяет. Они не закрывают CVE-2026-19868 для тех, кто уже дотягивается до SSLVPN с alternate credentials. Не отключайте MFA «чтобы обойти проблему» — это усугубит риск.

Признаки взлома и что делать

Публичных IoC от SonicWall/CISA по пакету нет. Смотрите: SSLVPN-сессии в обход ожидаемого SAML/MFA; необычные admin-операции; краши SSLVPN/TACACS+. При признаках компрометации: изоляция, forensic, отзыв активных SSLVPN- и IdP-сессий, ротация VPN/IdP/admin-секретов; одного патча после инцидента мало.

Источники