SonicWall修补网管软件指令执行漏洞

网络设备商SonicWall上周（5/27）针对其设备管理软件上，一个可能让骇客在装置上执行指令的重大漏洞，释出修补程式。

出现问题的是管理SonicWall所有装置的网络安全管理员（Network Security Manager，NSM）软件。编号CVE-2021-20026的漏洞是一指令注入漏洞，可能让经过验证的攻击者发出假造的HTTP呼叫，而在操作系统上以根权限执行指令。此一漏洞CVSS 3.1风险评分为8.8。

NSM可以在本地部署或以云端（SaaS）执行，不过这次漏洞仅影响NSM本地部署版本2.2.0-R10及之前版本。SaaS版则不受影响。

SonicWall已在本周释出Network Security Manager (NSM) 2.2.1版，也呼吁本地部署NSM的SonicWall企业管理员尽速更新。

这是SonicWall今年以来最新修补的产品漏洞。今年1月22日SonicWall公告小型企业用SSL VPN产品SMA 100系列的漏洞遭骇客发动攻击，之后则证明受影响装置涵括MA200、210、400、410实体设备及SMA500v虚拟设备（Azure、AWS、AWS ESXi、HyperV），迫使该公司二度修补。

 参考资料（如需详细资讯请洽厂商）

影响SonicWall Network Security Manager(NSM) 的CVE-2021-20026官方修补资讯（2021-05-27公告）：https://www.sonicwall.com/support/product-notification/security-advisory...

SMA 100 Series 10.X And 9.X Firmware官方修补资讯（2021-01-22公告、2021-04-29更新）：https://www.sonicwall.com/support/product-notification/additional-sma-10...