SonicWall terpaksa mengeluarkan tambalan lain untuk memperbaiki kerentanan yang awalnya dilaporkan pada September 2020 dan memengaruhi lebih dari 800.000 SonicWall VPN (terbuka di tab baru)s.
Awalnya ditandai dan diperlakukan sebagai CVE-2020-5135, masalah ini diidentifikasi sebagai kerentanan Buffer Overflow berbasis stack kritis yang dilaporkan dapat dieksploitasi oleh penyerang jarak jauh untuk mengeksekusi kode arbitrer pada perangkat yang terkena dampak, atau menyebabkan Denial of Service (DoS).
Keamanan cyber (terbuka di tab baru) penyedia solusi SonicWall merilis perbaikan untuk menambal kerentanan pada Oktober 2020. Namun, ternyata, perbaikan itu tidak dikodekan dengan benar dan bahkan menyebabkan masalah dump memori yang menyebabkan SonicWall kembali ke papan gambar untuk mengatasi masalah tersebut, yang sekarang telah diperbaiki.
Craig Young, peneliti keamanan di TripWire, yang dikreditkan bersama dengan Nikita Abramov dari Positive Technologies, sebagai penemu kerentanan CVE-2020-5135, telah menerbitkan akun terperinci (terbuka di tab baru) interaksinya dengan SonicWall untuk memperbaiki “perbaikan yang gagal”.
Lebih baik terlambat daripada tidak sama sekali
Young berbagi bahwa dia menyadari ada sesuatu yang salah dengan tambalan Oktober untuk CVE-2020-5135 dan memberi tahu SonicWall pada 6 Oktober.
“Pada 9 Oktober, SonicWall mengonfirmasi harapan saya bahwa ini adalah hasil dari perbaikan yang tidak tepat untuk CVE-2020-5135 dan memberi tahu saya bahwa versi firmware yang ditambal sudah mulai tersedia di mysonicwall.com dan juga melalui Biru langit (terbuka di tab baru)”tulis Young.
Dia mengklaim bahwa meskipun SonicWall telah membagikan saran untuk perbaikan yang ditambal, sekarang dilacak sebagai CVE-2021-20019 pada Oktober 2020 itu sendiri, baru beberapa bulan kemudian pada Juni 2021 bahwa penasehat (terbuka di tab baru) dipublikasikan dan perbaikan didorong ke pelanggan.
Dalam sebuah pernyataan, SonicWall memberi tahu kami, “SonicWall aktif berkolaborasi dengan peneliti pihak ketiga, vendor keamanan, dan firma analisis forensik untuk memastikan produknya memenuhi atau melampaui standar keamanan yang diharapkan. Melalui praktik ini, SonicWall dibuat sadar akan, memverifikasi, menguji, dan menambal kerentanan buffer overflow non-kritis yang memengaruhi versi SonicOS. SonicWall tidak mengetahui kerentanan ini dieksploitasi secara liar. Seperti biasa, SonicWall sangat menganjurkan organisasi untuk menjaga ketekunan patch untuk semua produk keamanan.”
- Kami juga telah menyusun daftar VPN terbaik (terbuka di tab baru) solusi yang tersedia
Melalui Komputer Tidur (terbuka di tab baru)
