SonicWall wydał aktualizacje zabezpieczeń dla luki o wysokim poziomie zagrożenia w SonicOS, która mogłaby umożliwić atakującym obejście zabezpieczeń uwierzytelniania SAML dla dostępu SSL VPN. Firma poinformowała, że zbadała zgłoszenie sugerujące, iż luka mogła zostać wykorzystana.
Problem śledzony jako CVE-2026-19868 dotyczy usługi SSL VPN w SonicOS, systemie operacyjnym używanym przez zapory sieciowe SonicWall. Według SonicWall atakujący posiadający prawidłowe poświadczenia dla alternatywnej metody uwierzytelniania mógłby potencjalnie ominąć wymagania logowania opartego na SAML. Mogłoby to również obejść uwierzytelnianie wieloskładnikowe, gdy MFA jest wymuszane za pośrednictwem SAML.
Luka ma wynik CVSS wynoszący 7,1 i została zgłoszona przez Ryana Harrisa z The Electronic Office. Narażone są wyłącznie wdrożenia, w których uwierzytelnianie SAML zostało włączone dla dostępu SSL VPN.
Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała CVE-2026-19868 do swojego katalogu Known Exploited Vulnerabilities 6 listopada. Federalne agencje cywilne podlegające Wiążącej Dyrektywie Operacyjnej 26-04 mają czas do 20 listopada na usunięcie problemu. Ani CISA, ani SonicWall nie opublikowały szczegółów technicznych dotyczących zgłoszonego wykorzystania luki ani nie wskazały zaangażowanych podmiotów.
Dotknięte wersje i aktualizacje
Luka dotyczy następujących produktów i wydań SonicWall:
- zapór Gen7 TZ, NSa, NSsp i NSv działających z SonicOS 7.3.3-7015 lub starszym
- zapór Gen8 TZ, NSa i NSv działających z SonicOS 8.2.2-8015 lub starszym
SonicWall poinformował, że problem został naprawiony w wersjach SonicOS 7.3.4-7013 i 8.2.3-8015. Dostawca nie podał obejścia problemu i wezwał klientów do niezwłocznego zainstalowania zaktualizowanego oprogramowania.
Komunikat obejmuje również sześć dodatkowych luk. Dwie podatności, każda oceniona na 8,8 w skali CVSS, dotyczą interfejsów zarządzania SonicOS i w określonych warunkach mogą umożliwić nieuwierzytelnione zdalne działania. Pozostałe problemy obejmują przepełnienia bufora przed uwierzytelnieniem, które mogą powodować warunki odmowy usługi na poziomie aplikacji, a także słabość związaną ze słabym haszowaniem haseł, dotyczącą urządzeń wirtualnych. SonicWall nie wskazał tych dodatkowych podatności jako wykorzystywanych.