CVE-2024-53704

Falha de autenticação (CWE-287) no mecanismo SSLVPN do SonicOS, o firmware dos firewalls SonicWall de série Gen7, que permite a um atacante remoto sem credenciais válidas contornar o processo de login e obter acesso à interface de VPN. É crítica porque a interface de gerenciamento SSLVPN costuma estar exposta diretamente à internet — é exatamente para isso que ela existe — e está confirmadamente sendo explorada em campo, o que levou a CISA a incluí-la no catálogo KEV com prazo de mitigação.

A vulnerabilidade está no mecanismo de autenticação da interface SSLVPN do SonicOS, componente usado para autenticar usuários remotos antes de estabelecer o túnel VPN. A classificação CWE-287 (Improper Authentication) indica que o processo de verificação de identidade não valida corretamente as credenciais ou o estado de sessão do solicitante, permitindo que a lógica de autenticação seja contornada sem que o atacante forneça um usuário e senha válidos.

O fornecedor não publicou detalhes de implementação sobre onde exatamente a verificação falha — se por comparação incorreta de tokens de sessão, aceitação de estado de autenticação incompleto, ou outro defeito no fluxo de login. Pesquisadores externos que analisaram o binário do SonicOS documentaram o comportamento explorável, mas o mecanismo interno preciso (qual campo, qual comparação, qual condição de borda) não está confirmado nas fontes que consultamos aqui — evite se apoiar em writeups não oficiais para detalhes de payload.

O que se sabe com segurança: o vetor é a interface de autenticação SSLVPN exposta pela porta de gerenciamento do firewall, o ataque é de rede (AV:N), não exige interação do usuário (UI:N) e não exige privilégio prévio (PR:N) — coerente com o vetor CVSS informado (AV:N/AC:L/PR:N/UI:N). O impacto reportado é confidencialidade (C:L) e disponibilidade (A:H), sem impacto de integridade — o que sugere que o bypass concede acesso/visibilidade a recursos internos e pode ser usado para desestabilizar o dispositivo, mas o vetor CVSS não indica modificação direta de dados pelo atacante nesse CVE isolado.

O pré-requisito prático mais importante é exposição: a interface de gerenciamento/autenticação SSLVPN do firewall precisa estar acessível pela rede que o atacante controla — na maioria dos incidentes reportados isso significa a interface exposta diretamente à internet, cenário comum em implantações de acesso remoto VPN para força de trabalho distribuída. Sem essa exposição, a superfície de ataque não existe.

A exploração não exige autenticação prévia nem interação da vítima — o próprio bypass é o objetivo do ataque. Existe template Nuclei público e PoC divulgada, o que baixa a barreira técnica: qualquer scanner automatizado pode varrer a internet em busca de dispositivos vulneráveis e tentar o bypass sem necessidade de conhecimento profundo da falha. Isso explica o EPSS alto (~0,95) e a confirmação de exploração ativa pela CISA.

O resultado final documentado pela CISA e pelo fornecedor é bypass de autenticação na SSLVPN — o atacante ganha acesso à sessão/interface VPN sem credenciais legítimas, o que na prática pode ser usado como ponto de entrada para a rede interna atrás do firewall, dependendo de como o acesso remoto está configurado (perfis de usuário, segmentação, MFA em camadas adicionais). Não há confirmação nas fontes consultadas de execução remota de código direta a partir desta CVE especificamente — o impacto primário é acesso indevido, não RCE.

A orientação da CISA no KEV é objetiva: aplicar as mitigações do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível — redação que a própria agência usa quando considera a exposição de rede o fator crítico. O advisory oficial do fornecedor (SNWLID-2025-0003) traz as versões corrigidas por linha de produto; como os números de build variam por série de hardware (TZ, NSa, NSsp, NSv), a orientação responsável aqui é consultar diretamente esse advisory para a versão exata aplicável ao seu modelo, em vez de assumir um único número de build.

Como controle compensatório imediato quando a atualização não é possível de imediato: restringir o acesso à interface de gerenciamento/SSLVPN apenas a IPs de origem confiáveis (allowlist), desabilitar SSLVPN em interfaces expostas à internet até a correção, e habilitar MFA na VPN quando suportado — isso não corrige a falha de autenticação em si, mas reduz a superfície e a chance de exploração automatizada em massa. Trocar senhas de usuários VPN não neutraliza esta falha, já que o problema é bypass do mecanismo de autenticação, não comprometimento de credencial.

Dado que há exploração ativa confirmada e PoC pública, tratar como prioridade máxima de patch em qualquer ambiente com a interface SSLVPN exposta à internet — o prazo definido pela CISA para agências federais dos EUA (11/03/2025) é um bom proxy de urgência mesmo para quem não está sob essa jurisdição.