El riesgo de una mitigación incompleta en dispositivos SonicWall Gen6
En el panorama actual de la ciberseguridad, el MFA (Autenticación de Doble Factor) se considera la última línea de defensa contra el acceso no autorizado. Sin embargo, una reciente alerta sobre los dispositivos SonicWall Gen6 SSL-VPN ha puesto de manifiesto que confiar únicamente en las actualizaciones automáticas de firmware puede ser un error crítico para la seguridad corporativa.
Se ha detectado que actores de amenazas están explotando activamente la vulnerabilidad identificada como CVE-2024-12802. Lo alarmante de este caso no es solo la vulnerabilidad en sí, sino que muchos administradores de sistemas creen estar protegidos tras aplicar el parche de firmware, cuando en realidad sus sistemas siguen siendo vulnerables.
¿En qué consiste el bypass del MFA?
La vulnerabilidad CVE-2024-12802 se origina por una falta de cumplimiento en la validación del MFA cuando se utiliza el formato de inicio de sesión UPN (User Principal Name). Esto permite que un atacante con credenciales válidas (obtenidas, por ejemplo, mediante fuerza bruta) pueda autenticarse directamente en la red interna saltándose el requisito del segundo factor.
Según investigaciones recientes de ReliaQuest, los atacantes están utilizando este acceso para realizar reconocimiento de red, probar la reutilización de credenciales en sistemas internos y desplegar herramientas de post-explotación como Cobalt Strike, facilitando ataques de ransomware en cuestión de minutos.
El desafío de los dispositivos Gen6
A diferencia de las versiones Gen7 y Gen8, donde la actualización del firmware es suficiente para cerrar la brecha, los dispositivos SonicWall Gen6 requieren una intervención manual adicional. La actualización del software por sí sola no reconfigura los servidores LDAP de forma segura, dejando la puerta abierta a los atacantes.
Es fundamental tener en cuenta que los dispositivos Gen6 alcanzaron su fin de vida útil (End-of-Life) el pasado 16 de abril de 2026, lo que significa que ya no recibirán actualizaciones de seguridad adicionales, aumentando exponencialmente el riesgo para las empresas que aún los mantienen en producción.
Pasos críticos para la remediación
Si su organización aún utiliza dispositivos SonicWall Gen6, es imperativo seguir estos pasos de reconfiguración manual detallados por el fabricante:
- Eliminar la configuración LDAP existente que utilice userPrincipalName en el campo de nombre de inicio de sesión calificado.
- Limpiar el caché de usuarios LDAP locales.
- Reiniciar el firewall tras eliminar el dominio de usuario SSL VPN configurado.
- Recrear la configuración LDAP asegurándose de no utilizar el formato UPN.
- Realizar un backup limpio para evitar restaurar configuraciones vulnerables en el futuro.
Recomendación de Intedya
Desde Intedya, recordamos a las organizaciones que la gestión de vulnerabilidades no termina con la instalación de un parche. La seguridad robusta requiere una verificación constante de las configuraciones y, preferiblemente, la migración de activos tecnológicos críticos que han superado su ciclo de vida útil. Mantener hardware obsoletos en la frontera de nuestra red es una invitación directa a incidentes que pueden comprometer la continuidad del negocio.
Fuentes
- Bleeping Computer — Hackers bypass SonicWall VPN MFA due to incomplete patching
https://www.bleepingcomputer.com/news/security/hackers-bypass-sonicwall-vpn-mfa-due-to-incomplete-patching/