漏洞分享 - SonicOS SSLVPN存在Stored Cross-site Scripting漏洞
SonicOS SSLVPN存在Stored Cross-site Scripting漏洞
一、摘要
SonicOS SSLVPN 入口存在「輸入驗證未完全」的漏洞 (即 XSS)，允許取得授權的遠端攻擊者，以防火牆管理員的身份遠端存放並執行任意 JavaScript 代碼。
二、存在風險
- 受影響之系統：
- 產品 Gen7 - TZ270, TZ270W, TZ370, TZ370W, TZ470, TZ470W, TZ570, TZ570W, TZ570P, TZ670, NSa 2700, NSa 3700,NSa 4700, NSa 5700, NSa 6700, NSsp 10700, NSsp 11700, NSsp 13700, NSv 270, NSv 470, NSv 870，其SonicOS 7.0.1-5145、7.1.1-7047 及更早版本
- 嚴重漏洞識別碼說明：
- CVE-2024-22397：存在「輸入驗證未完全」的漏洞 (即 XSS)，允許取得授權的遠端攻擊者，以防火牆管理員的身份遠端存放並執行任意 JavaScript 代碼。
三、建議改善措施：
請有使用包含上述漏洞版本的SonicWall使用者盡速更新至SonicOS 7.0.1-5151、SonicOS 7.1.1-7051或更高版本。
情資報告連結：
