お客様 各位
 2013年1月7日
SonicOSの脆弱性に関するお知らせ

 

日頃はSonicWALL製品をご利用いただきまして、誠にありがとうございます。

Dell SonicWALL の SonicOS において WEBスクリプトに関する脆弱性が発見されました。以下の通り対策を含むファームウェアをリリースしましたのでお知らせいたします。

対象製品
Dell SonicWALL ファイアウォールアプライアンス:
 ・TZ 100 / TZ 100 Wireless
 ・TZ 105 / TZ 105 Wireless
 ・TZ 200 / TZ 200 Wireless
 ・TZ 205 / TZ 205 Wireless
 ・TZ 210 / TZ 210 Wireless
 ・TZ 215 / TZ 215 Wireless
 ・NSA 220 / NSA 220 Wireless
 ・NSA 240
 ・NSA 250M / NSA 250M Wireless
 ・NSA 2400
 ・NSA 3500
 ・NSA 4500
 ・NSA 5000
 ・NSA E-Class 5500
 ・NSA E-Class 6500
 ・NSA E-Class 7500
 ・NSA E-Class 8500
 ・NSA E-Class 8510

対象となる ファームウェア バージョン
SonicOS 5.8.1.0 から 5.8.1.8 まで

問題の概要
この脆弱性は、WEBブラウザーからの管理者セッション内で不正なスクリプトを実行するように作られた特定のPOSTリクエストを受け入れてしまう脆弱性です。管理者がファイアウォールにログインし、攻撃者がその管理者のPCからそのファイアウォールの特定のページにPOSTリクエストを送信した場合に発生します。この脆弱性の悪用に成功するとセッションハイジャックや予期せぬ動作を引き起こすことが可能です。

対策
対象となるファームウェアバージョンをご利用のお客様はこの脆弱性の修正を含むバージョン 5.8.1.9 をご利用ください。このファームウェアは、 サポートライセンスの有無にかかわらず www.mySonicWALL.com より取得可能です。

報告元
Benjamin Kunz Mejri - Vulnerability Research Laboratory
Dell SonicWALL カスタマーサポートセンター