NachoVPN: VPN-серверы берут контроль над корпоративными сетями

Новые атаки обнажают слабости VPN-подключений.

Специалисты AmberWolf обнаружили уязвимости в VPN-клиентах SonicWall NetExtender и Palo Alto Networks GlobalProtect, которые получили название NachoVPN. Ошибки позволяют хакерам устанавливать вредоносные обновления при подключении клиентов к поддельным VPN-серверам. Для реализации атак используются фишинговые сайты или фальшивые документы.

С помощью поддельных серверов злоумышленники могут похищать учетные данные пользователей, получать привилегии уровня Root или SYSTEM, устанавливать вредоносное ПО через поддельные обновления, подделывать подписи кода или проводить MiTM-атаки, внедряя вредоносные корневые сертификаты.

Основное внимание экспертов было уделено SSL-VPN клиентам и решениям Zero Trust, которые широко используются в корпоративной среде. Эксперты показали, что уязвимости возникают из-за избыточного доверия клиентов к серверам и минимального уровня взаимодействия, необходимого для успешной атаки.

Для демонстрации сценариев атак был разработан открытый инструмент NachoVPN, который служит доказательством концепции (Proof of Concept, PoC) и помогает моделировать работу вредоносных VPN-серверов, которые эксплуатируют описанные уязвимости.

Инструмент поддерживает несколько популярных корпоративных VPN-продуктов, включая Cisco AnyConnect, SonicWall NetExtender, Palo Alto GlobalProtect и Ivanti Connect Secure. Возможности NachoVPN включают адаптацию под конкретный VPN-клиент и расширяемость для добавления новых уязвимостей.

Публикация NachoVPN сопровождается выпуском детализированных консультативных отчётов о выявленных уязвимостях. Среди них:

• CVE-2024-5921 (оценка CVSS: 5.6) в Palo Alto GlobalProtect, позволяющая выполнить удалённый код и повысить привилегии.
• CVE-2024-29014 (оценка CVSS: 8.8) в SonicWall SMA100 NetExtender для Windows, связанная с выполнением кода с привилегиями SYSTEM через обновления клиента.

В ходе исследования также было проведено моделирование реальных атак в корпоративных средах. На примерах показано, как уязвимости VPN-клиентов позволяют злоумышленникам получать контроль над устройствами конечных пользователей.

SonicWall рекомендует установить версию NetExtender 10.2.341 или выше для устранения уязвимости, а Palo Alto Networks сообщает, что использование VPN-клиента в режиме FIPS-CC также снижает риск атак. Однако полной защиты можно достичь только установкой версии GlobalProtect 6.2.6 или более поздней.

Для защиты сетей исследователи рекомендуют изучить опубликованные технические отчеты AmberWolf. Они содержат подробности векторов атак и рекомендации по предотвращению возможных угроз.