SonicWall roept op eol-gateways direct los te koppelen wegens actief misbruik

SonicWall waarschuwt dat kwetsbaarheden in Secure Mobile Access 100- en Secure Remote Access-gateways met end-of-lifefirmware actief misbruikt worden voor ransomwareaanvallen. Het bedrijf adviseert om de producten onmiddellijk van internet te halen.

De aanvallers misbruiken een kwetsbaarheid in 8.x-firmware van de producten, die SonicWall niet meer ondersteunt. In nieuwe versies van de firmware is de kwetsbaarheid verholpen. Bij aanvallen stelen criminelen inloggegevens en voeren ze ransomwareaanvallen uit. Het gaat om de gateways SRA 4600/1600, SRA 4200/1200, SSL-VPN 200/2000/400 en SMA 400/200.

Alleen die laatste heeft nog, gelimiteerde, ondersteuning en gebruikers krijgen het dringende advies te updaten naar firmwareversies 10.2.0.7-34 of 9.0.0.10. De overige gateways dienen van internet losgekoppeld te worden en een wachtwoordreset te krijgen, waarschuwt SonicWall. Ook het Belgische CERT waarschuwt voor de ransomwaredreiging van de kwetsbaarheid.

Voor gebruikers met gateways die nog op 8.x-firmware zitten en niet kunnen updaten, biedt SonicWall een virtuele SMA 500v aan tot 31 oktober, zodat gebruikers kunnen overstappen op een ondersteund product. Verder waarschuwt het bedrijf dat begin dit jaar ook een kwetsbaarheid in de firmware van de SMA 210, 410 en de eerder genoemde 500v aangetroffen is, die losstaat van die van de 8.x-firmware. Gebruikers van deze producten dienen de 9.x- en 10.x-firmware te updaten naar de laatste versies.

SonicWall SRA 4600

Reacties (37)

[The Zep Man]

Aan de ene kant is het zo dat je als klant een product koopt en waarover je (als het goed is) geïnformeerd bent over hoe lang dat product ondersteund wordt. Een gebrek aan ondersteuning is grofweg gezegd 'dikke pech', want je bent ermee akkoord gegaan.

Aan de andere kant is het niet meer ondersteunen van firewalls die op technisch vlak nog wel ondersteund zouden kunnen worden, een vorm van geplande veroudering en verspilling. Waarom wordt voor witgoed wel een verwijderingsbijdrage gerekend, maar niet voor netwerkapparatuur?

Voor dit soort apparatuur zou ook afgedwongen kunnen worden dat na de ondersteuningsperiode de software/drivers/volledige specificaties van de hardware en van de aansturing open-source/public domain wordt, zodat men elders ondersteuning kan zoeken.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 10:05]

[Cergorach]

Die SMA 400 is 400 is bv. al ruim 5 jaar oud en zou nog ondersteuning krijgen op firmware. Dat ze nu zo hard roepen dat als je die hardware hebt, je de firmware direct moet updaten komt omdat ook al krijgen producten langere ondersteuning, dan moeten beheerders die nog wel gaan installeren en je ziet dat dit gewoon niet (tijdig) gebeurt.

Die SRA 4600 is van eind 2012: https://web.archive.org/w...nicguard.com/SRA-4600.asp

Dat is net zo oud als Windows 8, niet 8.1, Windows 8. Windows 8 wordt al heel lang niet meer ondersteund, 8.1 nog net wel (nog anderhalf jaar).

Je koopt hier een hardware appliance en als bedrijf dien je daar de voor en nadelen van te kennen. Dit is de reden waarom consumenten meer bescherming hebben dan bedrijven. Bij de aanschaf zou de aanschaf van het volgende model al ingetekend moeten zijn in het budget. Er zijn vast organisaties die prima uit de voeten kunnen met NT4, maar dat betekend ook maar niet dat MS die versie moet ondersteunen of opeens OS moet maken.

[witchdoc]

Je moet echter kijken naar het tijdstip dat de verkoop is stopgezet, niet naar de datum dat het product gelanceerd werd.
Last Day Order Ends: October 31, 2016

[Reactie gewijzigd door witchdoc op 23 juli 2024 10:05]

[Blokker_1999]

Ook dat is wat mij betreft niet de juiste datum om naar te kijken. Vaak verkopen fabrikanten verschillende generaties van een product en houden ze oudere productlijnen vooral nog in de verkoop omdat bedrijven die de afgelopen jaren erin hebben geinvesteerd en willen uitbreiden liefst bij iets bekend blijven ipiv verschillende generaties door elkaar te mengen.

[witchdoc]

Sorry maar dat is best onzin.
1) zo'n end of sales wordt zelf ook op voorhand aangekondigd zodat bedrijven die mogelijk nog extra units nodig hebben die nog tijdig kunnen kopen.
2)Net met dit soort apparaten kan een uitbreiding makkelijk met een nieuwer model gebeuren. Bewijs hiervoor? Hun oplossing nu is een ander virtueel model.
3) beweer je nu echt dat ik geen recht zou hebben op een fatsoenlijke support duur als ik onwetend (of wetend) een maand voor de end of sales nog zo'n product had gekocht?

Nee, end of support dien je toch echt vanaf de end of sales te bekijken.

[Cergorach]

3) beweer je nu echt dat ik geen recht zou hebben op een fatsoenlijke support duur als ik onwetend (of wetend) een maand voor de end of sales nog zo'n product had gekocht?

Ja.

Als dat niet zo is, dan heb je niets te zoeken als business en als je positie is dat soort zaken in te kopen (als ITer of inkoper) heb je niets te zoeken in die functie. En begrijp me niet verkeerd, we hebben allemaal dat soort foutjes gemaakt, vaak is dat dan even slikken en het afschrijven als een business learning cost. Maar bij de leverancier lopen zeiken dat ze maar meer support moeten leveren omdat jij een foutje heb gemaakt is imho de verkeerde manier van werken.

Als je als consument dat doet is het een ander verhaal, maar dit zijn nu eenmaal geen consumenten producten.

[mwolthers]

Wat moet je dan precies doen met oudere producten die technisch gewoon prima zijn en voldoen aan de vraag van de eigenaar? Gewoon maar weggooien? Dat is inderdaad geplande veroudering en verspilling, zoals @The Zep Man aangeeft. Als open-source firmware een mogelijkheid wordt is dat opgelost. Of dat nu op basis is van de bestaande (verouderde) firmware of compleet nieuw geschreven. Dit is met wetgeving prima af te dwingen en zou veel verspilling voorkomen.

[Cergorach]

Wat moet je dan precies doen met oudere producten die technisch gewoon prima zijn en voldoen aan de vraag van de eigenaar?

Dat wist de eigenaar voordat deze het kocht. Je kan altijd kiezen om niet te kopen van deze partij, eigen hardware kopen die wel 10+ jaar ondersteund wordt (good luck with that) en dan virtual appliances draaien.

Wat een hoop mensen lijken te vergeten is dat software ontwikkeling/onderhoud gewoon geld kost en je dat voor elk model hardware opnieuw moet betalen als producent. Die zitten in de business om winstgevend te zijn en niet om failliet te gaan. Dus oude hardware van x periode wordt niet langer onderhouden. Zelfs al zou het bedrijf een special extra support aanbieden tegen x bedrag per jaar voor langere ondersteuning van firmware, dan nog zouden er niet voldoende bedrijven hier geld aan willen uitgeven om dit werkbaar te kunnen maken.

Als ik kijk naar HP servers, kan je geen drivers/firmware downloaden als je geen support contract hebt. HP is een van de meest populaire server leveranciers! Persoonlijk zou ik bedrijven adviseren om geen HP server hardware aan te schaffen.

Laten we nu eens kijken naar consumenten hardware en security patches. Apple levert gemiddeld langer support hun smartphones dan de concurrentie en een hoop mensen vinden het device te duur voor wat het doet zonder maar te kijken hoe lang het mee gaat met security updates. Terwijl andere smartphones wellicht maar 2 jaar support krijgen... En van al die iPhone klanten is er slechts een heel klein percentage die uberhaupt hebben gekeken of overwogen hebben hoe lang dat device mee kan qua security updates.

[mwolthers]

"Good luck with that" - je geeft het zelf al aan. Nauwelijks te vinden dus. Verder ga je volledig voorbij aan de suggestie dat niet de fabrikant maar de open source-wereld apparatuur die niet meer ondersteund wordt van verse firmware kan voorzien. Maar dan moeten fabrikanten dat wel mogelijk maken! Doen ze dat uit zichzelf? Mwah. Kan wetgeving dat oplossen? Ja, dat kan prima!

Dat firmware ontwikkelen geld kost en dat een bedrijf meer verdient door na een paar jaar te stoppen met ondersteuning snap ik ook, daar hoef je zeg maar niet voor gestudeerd te hebben. Maar dat wil niet zeggen dat we dat ook moeten willen, laat staan klakkeloos accepteren.

[Cergorach]

Mwah. Kan wetgeving dat oplossen? Ja, dat kan prima!

Nee, dat kan niet prima. Want wetgeving is beperkt tot een land of wellicht de EU. En de bevolking in de EU is minder dan 10% van de wereld bevolking. Dan krijg je straks van die situaties die we nu al zien in Nederland/België met bv. de lootbox wetgeving. Een leverancier levert gewoon niet meer aan de landen die eisen stellen die de bedrijven niet acceptabel vinden. Oude firmware OS maken is gewoon je bedrijfs 'property' op straat gooien, de kans is immers groot dat volgende versies gebouwd zijn op deze oudere firmware. Dus maakt het OS ontwikkelaars extra makkelijk om dergelijke functionaliteit in te bouwen, dan heeft straks het bedrijf geen bestaansrecht meer, iets wat de leiding van een bedrijf ten alle tijden wil voorkomen.

Dat het nauwelijks te vinden is moet je toch een indicatie geven dat er niet voldoende markt voor is...

Ik ben voor afschaffing van copyright, patenten en trademarks. Maar dan moet de maatschappij er wel klaar voor zijn en de wereld laat zien dat deze er nog verre van klaar voor is. "Eerlijk zullen we alles delen!" klinkt heel leuk in een kinderrijmpje, maar in de praktijk gebeurt dat natuurlijk amper. Everyone is out for number one! (him/herself)

[mwolthers]

Tsja, als ik je post kort maar parafraseren: "Beren op de weg... Dus alles maar weggooien na vijf jaar." Het is gewoon een volstrekt belachelijk principe, waar geld zoals zo vaak gaat boven alle gemeenschappelijke belangen. Van mij mogen bedrijven verdienen aan hun producten, daar zie ik geen enkel probleem in. Maar bewust aansturen op verspilling zou wat mij betreft grond voor hele hoge boetes moeten zijn.

[gpglang]

"Huh... moet ik firmware updates doen dan?" Meer van dat bedoel je denk ik? Kom het regelmatig tegen hoor bij de kleinere MKB'rs.

[rookie no. 1]

Vergelijking gaat mank; Windows 8 gebruikers konden gratis upgraden naar Windows 8.1 en vervolgens ook weer gratis naar 10. Veelal ging dat automatisch.

Daarnaast is de firmware support van Sonicwall eigenlijk geen support, maar een betaalde dienst. Daar gaat het vaak bij MKB's fout omdat ze er niet aan denken het te verlengen of zgn. te duur vinden. Gelukkig is er inmiddels wel wat meer besef, maar criticals fixen binnen automatische/gratis support zou niet overbodig zijn.

[PrismSub7]

Dat kan je helaas niet voorspellen, wat als er een hardwarematige fout ontdekt wordt?
Dan is het ook praktisch per direct niet meer bruikbaar.

[OxWax]

Dan hoop ik dat dit kosteloos vervangen wordt.
Deze kost +2600€ en 3yr support nog eens +1500 € er bij

https://www.firewallshop....e-mobile-access/pid=63361

[The Zep Man]

Dat kan je helaas niet voorspellen, wat als er een hardwarematige fout ontdekt wordt?

Voor of na de garantieperiode? Ervoor: probleem van de fabrikant. Erna: improviseren.

Dan is het ook praktisch per direct niet meer bruikbaar.

Veel hardwarefouten zijn in software op te lossen. Dat kost soms wat (prestaties), maar maakt een apparaat niet per onmiddelijk onbruikbaar.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 10:05]

[FreshMaker]

Dat kan je helaas niet voorspellen, wat als er een hardwarematige fout ontdekt wordt?
Dan is het ook praktisch per direct niet meer bruikbaar.

Hardwarematig kan je niet eeuwigdurend ondersteunen natuurlijk.
Softwarematig, dat is discutabel.
Imho moet je dan kijken naar userbase en impact.

Microsoft en Apple hebben onlangs nog wat patches voor EOL systemen / devices uitgebracht, omdat die nog actief gebruikt worden, maar officieel niet meer ondersteund worden.
Dat is netjes.

Ik denk dat de impact van deze apparaten best groot zullen zijn, en een eventuele patch best rechtvaardig.
Er hoeft geen nieuwe interface op geen andere mogelijkheden gecreeerd te worden, alleen de patch om de exploit te onderdrukken.

En qua prijs van de apparaten, en de TCO hierop kan dat best ( het zijn geen 50€ Sitecom routers )

[JackBol]

Aan de andere kant is het niet meer ondersteunen van firewalls die op technisch vlak nog wel ondersteund zouden kunnen worden, een vorm van geplande veroudering en verspilling. Waarom wordt voor witgoed wel een verwijderingsbijdrage gerekend, maar niet voor netwerkapparatuur?

Netwerkapparatuur gaat naar de broker of naar de e-Waste waar het gerecycled wordt. Heb je wel eens uit een gemiddeld kantoor een EOL netwerk gehaald? Daar komt met gemak een vrachtwagen aan netto networking hardware uit. Dat kan je echt niet naar de milieustraat brengen hoor

Voor dit soort apparatuur zou ook afgedwongen kunnen worden dat na de ondersteuningsperiode de software/drivers/volledige specificaties van de hardware en van de aansturing open-source/public domain wordt, zodat men elders ondersteuning kan zoeken.

Grote delen van die software zit vaak nog in nieuwere software versies. Fabrikanten werken door op een bestaande code base. Als je dit soort zaken wilt, kun je beter naar OCP gebaseerde hardware kijken. Een fabrikant gaat hier namelijk rechtstreeks tegen zijn eigen business model (5-jarige lifecycle) in.

[The Zep Man]

Grote delen van die software zit vaak nog in nieuwere software versies. Fabrikanten werken door op een bestaande code base. Als je dit soort zaken wilt, kun je beter naar OCP gebaseerde hardware kijken. Een fabrikant gaat hier namelijk rechtstreeks tegen zijn eigen business model (5-jarige lifecycle) in.

Als een business model is gebaseerd op geplande veroudering en verspilling, dan is het misschien een business model dat ontmoedigd moet worden om maatschappelijke belangen te beschermen. Denk aan informatiebeveiliging en het milieu.

Reduce.
Reuse.
Recycle.

In die volgorde. Alles wat tegen ieder punt ingaat, zou ontmoedigd moeten worden.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 10:05]

[Cergorach]

Dat is aan het bedrijf die dergelijke producten koopt. Want de ITer/inkoper moet ook gewoon kijken naar hoe lang iets ondersteund wordt, wat het jaarlijks kost, wat het kost om te vervangen, etc. En computer hardware werd heel lang op gewoon 3 jaar gekocht om dan vervangen te worden of dat echt nodig was of niet. Tegenwoordig werkt dat net iets anders, maar zeker bij grote bedrijven willen de afdelingen nog steeds hun budget opmaken, want anders krijgen ze volgend jaar minder... Daadwerkelijk investeren in degelijke hardware met lange ondersteuning is vaak geen ruimte voor in het budget.

Een dergelijke fabrikant speelt alleen maar in op die markt. Als er vraag was naar hardware met 10 jaar ondersteuning tegen een dubbele prijs, dan zal er vast iemand inspringen... Die vraag is echter beperkt (jammer genoeg).

[bzzzt]

Het probleem met 24/7 draaiende hardware van tussen de 5-10 jaar oud is dat er toch wel een duidelijke toename in spul wat stuk gaat is. Zeker als je een paar racks vol hebt staan is het meestal goedkoper om na 5 jaar (of wat normaal gesproken de support termijn is) gewoon te vervangen.

[Cergorach]

Het probleem met 24/7 draaiende hardware van tussen de 5-10 jaar oud is dat er toch wel een duidelijke toename in spul wat stuk gaat is.

Hoe snel iets stuk gaat ligt aan de kwaliteit, complexiteit en het onderhoud. Servers gaan toch echt een heel stuk langer mee als je elke x jaar ze een keertje echt goed schoonmaakt... ;-)

[bzzzt]

Schoonmaken doe je alleen in bezemkast servers; als je host in een fatsoenlijk datacenter is de ruimte vrijwel stofvrij en zijn vette ventilatoren e.d. totaal geen probleem.
Uiteindelijk is die hardware gebouwd om 5 jaar (of whatever het support contract zegt) mee te gaan. Ze doen het meestal wel langer, maar op een voldoende grote populatie zie je echt meer defecten en kost dat gewoon dik (duurbetaalde) uren...

[PcDealer]

Ik wilde juist met mijn tweedehands SRA 1200 gaan spelen. Inderdaad is sw_sslvpnsra1200__eng_8.0.0.5.sig de laatste versie.

[nelizmastr]

Die kun je nu dus gaan weggooien, of nooit aan het internet hangen iig.

[FreshMaker]

Ik wilde juist met mijn tweedehands SRA 1200 gaan spelen. Inderdaad is sw_sslvpnsra1200__eng_8.0.0.5.sig de laatste versie.

Ik heb toch maar een nieuwe mikrotik besteld
voor thuis iig wat handzamer ook

[drocona]

Dat kun je natuurlijk nog steeds prima doen, je hoeft ze niet direct aan het internet te hangen om er mee te spelen gelukkig.
Ik speel genoeg met spullen, oud en nieuw. Altijd binnen mijn eigen netwerk, achter de firewall.
Je kunt er nog alles mee doen, behalve direct openbaar aan het internet hangen.

[Henkje.doc]

Mooi dat er comunicatie gebeurt. Kan me wel voorstellen dat voor de mensen thuis het een beetje aanvoelt als straks weer een verplichte aankoop. Zou toch anders opgelost kunnen worden?

[OxWax]

"thuis" heb je dit niet staan denk ik
Designed for organizations with up to 250 remote employees, the SRA 4600 offers granular policy configuration controls, seamless integration, mobile device support and more. Remote employees can easily access email, files and applications using the web-based Virtual Office or NetExtender, a lightweight client providing network level connectivity.

[Henkje.doc]

ah verkeerde product bekeken.Thanks
Nee idd daar gelden dan andere regels voor.

[OxWax]

Kan natuurlijk altijd, grote gezinnen bv. kost "maar" 2600€(ex support)
https://www.firewallshop....e-mobile-access/pid=63361

[Reactie gewijzigd door OxWax op 23 juli 2024 10:05]

[OxWax]

natuurlijk ook handige manier om je klanten over te laten stappen op de nieuwe lijn.
Over de exacte exploit lees ik niks

[PcDealer]

Ik heb een SRA 1200 in mijn MySonicWall account maar ik heb geen melding gehad. Dat vind ik wel teleurstellend.

[Tr3b0r]

Daar zouden alle vendors hun klanten op moeten attenderen. Zodra je een device niet meer kunt updaten = uitzetten. Het risico is te groot.

[Hansie9999]

Dit is totale zinloze verspilling !!

Net zoals ik al eerder poste, als men toestellen die hardwarematig nog gerust goed genoeg zijn weigeren van te blijven voorzien van minstens security updates , dat ze dan verplicht de source code van hun firmware moeten vrijgeven zodat hobbyisten hier verder op kunnen ontwikkelen. (en in veel gevallen hun toestellen 1000x beter laten werken (DD-WRT om een voorbeeld te geven) maarja, dat willen ze natuurlijk niet, ze willen dat je alle 3-5-7 jaar maximum alles op de digitale schroothoop gooit en nieuw spul koopt !!!!

[Blokker_1999]

Leuk, maar de nieuwere generaties van software zijn gebouwd op dezelfde basis. Daarnaast kan er ook software inzitten die ze zelf weer in licentie hebben genomen en waarover ze dus zelf weer niet kunnen beslissen.

Wanneer een product al 5 jaar niet meer te koop is dan zit je met een introductie van 8 tot 10 jaar geleden. Economisch dus volledig afgeschreven.

En als onderneming dan wil je net ondersteuning, geen hobbyproject waarbij uiteindelijk niemand verantwoordelijkheid neemt als het misgaat.

[trenjeska]

Tijd om hardware en firmware volledig los te koppelen.