SonicWall SMAに深刻な脆弱性、管理者セッションの乗っ取りやリモートコード実行のリスクも

SonicWall(ソニック ウォール)のSecure Mobile Access（SMA）シリーズにおいて、複数の重大なセキュリティ脆弱性が発見されました。中でもCVE-2024-38475とCVE-2023-44221の組み合わせによるセッションハイジャックと任意コード実行の可能性は、広範囲な被害を招く恐れがあるとして専門家から警鐘が鳴らされています。

対象製品と対策

影響を受ける製品とバージョン

• SMA 100シリーズ（SMA 200、210、400、410、500v）

• 影響ありバージョン：10.2.1.13-72sv以前

• 影響なし：SMA1000シリーズ

修正バージョン

• 10.2.1.14-75sv以降にアップデートすることで対応

SonicWallは、対象製品の利用者に対して早急なアップデートの適用を強く推奨しています。

脆弱性の詳細と影響範囲

SonicWallが4月29日に公開したセキュリティアドバイザリ（SNWLID-2024-0018）では、SMA100シリーズ（SMA 200/210/400/410/500v）に影響を与える6件の脆弱性が確認されており、以下がその概要です

CVE-2024-38475：Apache mod_rewrite によるパストラバーサル（CVSS 9.8）

• Apache HTTP Server 2.4.59以前のバージョンに存在

• 攻撃者がURLを通じて不正にファイルシステムへアクセス可能

• セッションハイジャックの起点となる危険性あり

CVE-2024-40763：ヒープベースのバッファオーバーフロー（CVSS 7.5）

• strcpy関数の不適切な使用によりヒープ破損

• 認証済みの攻撃者がリモートでコードを実行可能

CVE-2024-45318 / CVE-2024-53703：スタックベースのバッファオーバーフロー（CVSS 8.1）

• Web管理インターフェースおよびmod_httprpライブラリに存在

• 未認証の攻撃者によるリモートコード実行の恐れ

CVE-2024-45319：証明書認証のバイパス（CVSS 6.3）

• 証明書ベースの認証回避による権限昇格

CVE-2024-53702：安全でないランダム性（CVSS 5.3）

• 暗号的に弱い疑似乱数生成器（PRNG）使用によりバックアップコード推測のリスク

CVE-2023-44221：ポスト認証のコマンドインジェクション

• Diagnosticsメニューの特殊文字処理ミスにより任意コマンドが実行可能

脅威の連鎖：Exploit Chainによる複合攻撃が可能

セキュリティ企業 watchTowr Labs によれば、上記のCVE-2024-38475とCVE-2023-44221は連鎖的に悪用可能であり、以下のような攻撃シナリオが現実となり得ます：

1. CVE-2024-38475を利用して、未認証状態から管理者用ページに不正アクセス

2. セッションハイジャックによって有効なトークンを奪取

3. CVE-2023-44221を使って、任意のコマンドを“nobody”権限で実行

PoC（概念実証）コードも公開されており、実際の攻撃に悪用されるリスクは非常に高いといえます。

政府機関にも対応義務

米国CISA（Cybersecurity and Infrastructure Security Agency）は、2025年5月1日付で本脆弱性を「Known Exploited Vulnerability（KEV）カタログ」に追加。5月22日までにパッチを適用することを連邦機関に義務付けています。

まとめと推奨事項

• 該当デバイスを使用中の企業・組織は、バージョン10.2.1.14-75sv以上への速やかなアップデートが必須

• 管理画面への不審アクセスログの確認

• Webインターフェースや認証機構への侵入検知・制限強化

• 修正されたバージョン未満を運用している場合、セッションハイジャックや遠隔操作のリスクが高い状態であることを認識することが重要です

サプライチェーン攻撃やVPNゲートウェイを狙う攻撃は今後も続くと予想されており、今後のセキュリティ体制の見直しと運用の厳格化が求められます。