SonicWall SonicWall Email Security の権限管理の不備の脆弱性（CVE-2021-20021）

何が起きた

SonicWall Email Security に、権限の管理が正しくない弱点が見つかりました。攻撃者が細工した HTTP の要求を送るだけで、管理者のアカウントを作れてしまいます。攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できます。CISA によると、この弱点は CVE-2021-20022、CVE-2021-20023 と組み合わせた攻撃で使われ、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SonicWall によると、オンプレミス（自社設置）の Email Security の 10.0.9 以前と、Hosted Email Security の 10.0.9 以前が影響を受けます。

何をすればいい

オンプレミスの Email Security は、Windows 版を 10.0.9.6103 以降に、アプライアンス版を 10.0.9.6105 以降に更新してください。Hosted Email Security は SonicWall が自動で 10.0.9.6103 に更新しているため、利用者の作業は不要です。あわせて SonicWall の公式の案内（SNWLID-2021-0007）を確認してください。

やることチェックリスト

• Windows 版を 10.0.9.6103 以降に更新する
• アプライアンス版を 10.0.9.6105 以降に更新する
• Email Security のバージョンが 10.0.9 以前か調べる

用語メモ

HTTP

Web ブラウザと Web サーバーがやり取りするときの決まりごとです。

ランサムウェア

データを暗号化するなどして使えなくし、元に戻すことと引き換えにお金を要求する悪意のあるソフトです。

アプライアンス

特定の用途のために、ソフトと機器を一体にして提供される専用の装置です。