CISA KEV: SonicWall umožňuje obejít MFA

Platné přihlašovací údaje pro alternativní metodu mohou v SonicOS otevřít cestu do SSL VPN mimo kontroly SAML, včetně jím vynucovaného vícefaktorového ověřování. Zranitelnost CVE-2026-19868 je prokazatelně zneužívaná a vyžaduje kontrolu firmwaru i konfigurace vzdáleného přístupu.

CISA přidala chybu do katalogu KEV 6. listopadu. SonicWall ve svém bezpečnostním bulletinu uvádí, že prověřoval hlášení možného zneužití, a vyzývá k rychlé aktualizaci. Zveřejněné podklady neupřesňují rozsah útoků ani počet napadených zařízení. Přírůstek se týká SonicOS na firewallech generací Gen7 a Gen8, včetně uvedených virtuálních variant NSv.

Rozhodující je způsob přihlašování. Podle výrobce chyba dopadá na rozhraní nebo službu SSL VPN pouze tehdy, když je pro přihlášení zapnuté SAML. Tento mechanismus předává ověření identity externímu poskytovateli, který může vyžadovat další faktor. Zranitelná služba však dovoluje uživateli s platnými údaji pro jinou autentizační metodu tyto kontroly obejít. Nejde tedy o přístup bez jakýchkoli přihlašovacích údajů ani o obecné prolomení všech způsobů MFA. Pro organizaci je podstatné, že zapnuté vícefaktorové ověřování u poskytovatele identity nemusí chránit jinou přihlašovací cestu přijímanou VPN.

SonicWall hodnotí tuto chybu skóre CVSS 3.1 ve výši 7,1. CISA ADP v záznamu CVE uvádí 7,5 podle stejné verze stupnice. Rozdíl spočívá v parametru požadovaných oprávnění: výrobce počítá s nízkými oprávněními, CISA uvádí žádná. Oba vektory současně předpokládají vyšší složitost útoku. Pro posouzení reálné expozice zůstává určující slovní popis výrobce, který výslovně požaduje platné údaje pro alternativní metodu; vyšší skóre tuto podmínku neruší.

Dotčené jsou Gen7 se SonicOS 7.3.3-7015 a staršími verzemi a Gen8 se SonicOS 8.2.2-8015 a staršími verzemi. Bezpečnostní bulletin uvádí opravu od 7.3.4-7013 pro Gen7 a od 8.2.3-8015 pro Gen8. Pro Gen7 je k dispozici také novější sestavení 7.3.4-7015, jehož poznámky k vydání zahrnují platformy TZ, NSa, NSsp i NSv. Při výběru aktualizace je proto vhodné ověřit konkrétní model a dostupný instalační balík; samotné označení řady 7.3 nebo 8.2 nestačí.

SonicWall pro tuto zranitelnost neuvádí náhradní řešení bez aktualizace. Doporučujeme nasadit odpovídající opravené vydání, ověřit skutečně běžící verzi a následně otestovat přihlášení do VPN včetně požadovaného druhého faktoru. U zařízení spravovaných přes Network Security Manager je třeba zkontrolovat také kompatibilitu správy: poznámky k SonicOS 7.3.4 uvádějí pro místní instalaci NSM požadavek na verzi 4.4.

Jako doplňkovou kontrolu doporučujeme prověřit, které alternativní způsoby přihlášení a účty firewall přijímá, a projít záznamy vzdálených přístupů. Neobvyklé přihlášení nebo podezření na únik údajů je důvodem k řešení incidentu a zabezpečení dotčených účtů. Aktualizace odstraní chybu vynucování autentizace, ale sama neprokáže, že dřívější přístupy byly oprávněné.