Des gangs de ransomware exploitent des failles SonicWall, selon CISA
Des gangs de ransomware exploitent désormais deux failles récemment corrigées dans les appliances SonicWall SMA1000, dont une vulnérabilité critique en SSRF (Server-Side Request Forgery) permettant aux attaquants de contourner l'authentification et de prendre le contrôle total des appareils non corrigés. L'Agence américaine de cybersécurité et d'infrastructure (CISA) a ajouté ces deux vulnérabilités à son catalogue des vulnérabilités exploitées, signalant une exploitation active dans la nature et exhortant les organisations à appliquer les correctifs immédiatement.
Une surface d'attaque en expansion
Les vulnérabilités—CVE-2024-40766 (SSRF avec un score CVSS de 10) et CVE-2024-40767 (une faille de traversée de chemin de haute gravité)—affectent les appareils SonicWall SMA 1000 exécutant des versions spécifiques de firmware. L'avis de la CISA fait suite à des signalements de chercheurs en sécurité et d'intervenants en cybersécurité ayant observé des opérateurs de ransomware scannant des terminaux vulnérables peu après la publication des preuves de concept le mois dernier. Bien que SonicWall ait publié des correctifs fin juillet, de nombreuses organisations ne les ont pas encore déployés, laissant des passerelles exposées comme une cible facile pour les intrus.
Pourquoi négliger les correctifs est un pari risqué
Le calendrier de cette campagne souligne un écart persistant entre la divulgation des vulnérabilités et leur remédiation. Les équipes de sécurité reportent souvent les mises à jour des appliances en raison des risques de temps d'arrêt ou d'une confiance mal placée dans les défenses périphériques. Pourtant, la série SMA1000 sert de passerelle d'accès à distance critique pour de nombreuses entreprises, en faisant une cible de choix pour les brokers d'accès initial, qui revendent des points d'entrée aux groupes de ransomware. Une fois à l'intérieur, les attaquants peuvent se déplacer latéralement, exfiltrer des données ou déployer des malwares de chiffrement de fichiers.
Un appel à l'action pour les administrateurs
L'inclusion de ces failles dans le catalogue de la CISA impose des obligations fédérales aux agences civiles pour corriger ces vulnérabilités dans les délais, mais les organisations du secteur privé devraient considérer cela comme une directive urgente, et non une simple recommandation. Les utilisateurs de SonicWall sont invités à vérifier les versions de leur firmware et à appliquer les derniers correctifs, puis à auditer les journaux pour détecter des signes de compromission, comme des demandes d'authentification inattendues ou des schémas de trafic sortant inhabituels. Compte tenu de la gravité de la faille SSRF, les organisations pourraient également envisager une isolation temporaire du réseau pour les appareils non corrigés jusqu'à confirmation des mises à jour.
Pourquoi cela compte
L'exploitation active des vulnérabilités SMA1000 met en lumière la rapidité avec laquelle les groupes de ransomware passent des preuves de concept aux attaques réelles. Pour les entreprises, la leçon est claire : les mises à jour des appliances ne sont pas une simple formalité, mais une priorité de défense continue. Négliger de corriger rapidement peut transformer une seule passerelle en point d'entrée d'une violation à grande échelle, avec des conséquences allant de la perte de données aux sanctions réglementaires. À une époque où l'accès à distance est omniprésent, retarder les correctifs n'est plus une option—c'est une invitation ouverte aux attaquants.
Source : BleepingComputer. Synthèse éditoriale assistée par IA — TechnoExpress.