SonicWall предупредила о проблеме безопасности в операционной системе SonicOS, которая используется в межсетевых экранах компании. Ошибка связана с некорректной обработкой HTTP-заголовков и позволяет удалённому злоумышленнику манипулировать полем Host в запросе к веб-интерфейсу управления. В случае успешной эксплуатации администратор устройства может быть перенаправлен на сторонний веб-домен, контролируемый атакующим.
Уязвимости CVE-2026-0516
Уязвимость получила идентификатор CVE-2026-0516, её обнаружил исследователь Джошуа Чан. Согласно бюллетеню безопасности SNWLID-2026-0009, проблема относится к категории CWE-644 - некорректная нейтрализация HTTP-заголовков для скриптового синтаксиса. Разработчик оценил уровень угрозы в 4,3 балла по шкале CVSS v3, что соответствует средней степени опасности.
Суть проблемы в том, что веб-интерфейс управления межсетевым экраном некорректно проверяет значение заголовка Host во входящих запросах. Атакующий может отправить специально сформированный запрос, в котором этот заголовок указывает на подконтрольный ему домен. Если администратор обратится к панели управления по ссылке, сгенерированной с учётом такой манипуляции, его браузер будет перенаправлен на вредоносный сайт. Сценарий потенциально может использоваться для фишинга, кражи учётных данных или сбора другой конфиденциальной информации.
Важно отметить, что для успешной атаки требуется взаимодействие с пользователем - администратор должен перейти по подготовленной злоумышленником ссылке или выполнить иное действие, открывающее веб-интерфейс. Тем не менее вектор атаки сетевой, и для её запуска не требуются предварительные привилегии, что делает уязвимость доступной для широкого круга злоумышленников.
Проблема затрагивает значительную часть актуальных моделей межсетевых экранов SonicWall. В зону риска попадают аппаратные устройства Gen6, включая серии TZ, NSA и SM, работающие на версиях SonicOS 6.5.5.2-28n и более ранних. Также уязвимы аппаратные межсетевые экраны Gen7 (TZ270, TZ370, NSa 2700, NSsp 10700 и другие) и виртуальные устройства Gen7 NSv с версиями 7.0.1-5169 и ранее, либо 7.3.3-7015 и ранее. Кроме того, под угрозой находятся межсетевые экраны Gen8 - модели TZ80, TZ280, TZ380, TZ480, TZ580, TZ680, а также серии NSa 2800-5800 с версией SonicOS 8.2.1-8010 и более ранними.
Разработчики уже выпустили исправление для устройств Gen8 - обновление SonicOS 8.2.2-8015 устраняет уязвимость. Вместе с тем для аппаратных межсетевых экранов Gen6 и Gen7 готового патча пока нет. В компании сообщили, что исправление для Gen7 запланировано в одном из следующих релизов. Для Gen6 официальное решение также отсутствует, поэтому пользователям предлагается временная мера защиты.
В качестве обходного пути SonicWall рекомендует включить опцию "Enforce HTTP Host Header Check" (проверка заголовка Host). Эту настройку можно активировать через веб-интерфейс управления устройством или с помощью командной строки. После включения система будет отклонять запросы, в которых значение заголовка Host не соответствует фактическому адресу межсетевого экрана. Кроме того, администраторам настоятельно рекомендуется ограничить доступ к веб-интерфейсу управления доверенными сетями и использовать многофакторную аутентификацию.
Уязвимость затрагивает широкий парк оборудования, которое часто используется в малом и среднем бизнесе, а также в корпоративных сетях. Подобные ошибки в веб-интерфейсах сетевых устройств представляют особую опасность, поскольку панели управления часто остаются доступными из внутренних или даже внешних сетей. Включение проверки заголовка Host является стандартной мерой защиты от перенаправлений, но не все производители применяют её по умолчанию.
Пользователям SonicOS следует действовать незамедлительно: установить доступное обновление для Gen8 и активировать рекомендованную временную меру на остальных затронутых устройствах. По мере выхода новых версий прошивок необходимо обновлять и остальные модели. Также стоит проверить журналы доступа к веб-интерфейсу на предмет подозрительных запросов, которые могли быть связаны с попытками эксплуатации этой уязвимости.
Разработчики уже выпустили исправление для устройств Gen8, а для остальных моделей предложили чёткий план действий. Ситуация показывает, что даже средние по опасности уязвимости в веб-интерфейсах требуют быстрой реакции, так как они могут стать первым шагом в более сложной цепочке атак. Администраторам рекомендуется следить за обновлениями от SonicWall и применять их сразу после публикации.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-0516
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0009
