CVE-2019-7481

Falha de SQL Injection (CWE-89) na interface web de administração do SonicWall SMA100 (Secure Mobile Access) que permite a um atacante não autenticado, via rede, extrair dados de recursos que deveriam exigir autenticação. O impacto é limitado à confidencialidade — leitura não autorizada — sem escrita ou negação de serviço, mas está no catálogo KEV da CISA por exploração confirmada em campanhas reais contra aparelhos SMA100 expostos à internet.

A vulnerabilidade é uma injeção SQL clássica (CWE-89): algum parâmetro processado pela interface de gerenciamento web do SMA100 é concatenado em uma consulta SQL backend sem sanitização ou uso de queries parametrizadas. Isso permite manipular a lógica da consulta para retornar linhas de tabelas que o usuário não deveria acessar sem autenticação.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) confirma que a exploração ocorre pela rede, sem complexidade adicional, sem privilégios e sem interação do usuário — basta o atacante alcançar a porta de administração/gerenciamento do dispositivo. O impacto C:H/I:N/A:N indica que o resultado é leitura de dados (confidencialidade), sem alteração de dados nem indisponibilidade do serviço — coerente com o texto oficial da SonicWall, que fala em 'read-only access to unauthorized resources'.

O fornecedor não detalhou publicamente (nas fontes analisadas) o endpoint ou parâmetro exato injetável, nem o esquema de dados exposto. A CISA classifica o achado como SQL Injection (CWE-89) no seu catálogo, confirmando a natureza da falha além da descrição genérica da SonicWall.

Exploração é remota e não exige autenticação prévia: o atacante precisa apenas de acesso de rede à interface de gerenciamento do SMA100 (tipicamente exposta em HTTPS na porta de administração do appliance). Não há indicação de pré-condição de configuração não padrão — o problema está no código da interface web, então qualquer instância na faixa de versões afetadas e alcançável pela rede é candidata.

A CISA incluiu o CVE-2019-7481 no catálogo KEV (adicionado em 2021-11-03, prazo de correção em 2022-05-03), o que confirma exploração ativa observada, ainda que os detalhes técnicos da campanha específica não estejam nas fontes consultadas. O EPSS reportado (0.999) reforça que este é um dos CVEs com maior probabilidade de exploração observada no ecossistema de scanners e ferramentas automatizadas — reforçado pela existência de template Nuclei público.

Na prática, o resultado da exploração é extração de dados sensíveis armazenados no backend do appliance (por exemplo, informações de usuários ou configuração), sem que o atacante precise de credenciais. Isso é frequentemente usado como passo de reconhecimento ou coleta de credenciais para acesso subsequente à VPN corporativa exposta pelo SMA100, embora as fontes analisadas não descrevam uma cadeia de exploração completa nem uso confirmado em ransomware específico.

A ação recomendada pela CISA é 'aplicar atualizações conforme instruções do fornecedor'. O advisory oficial da SonicWall (SNWLID-2019-0016) trata essa falha junto com outras vulnerabilidades divulgadas na mesma janela (dezembro de 2019) afetando o SMA100 até a versão 9.0.0.3; a correção foi disponibilizada em atualização de firmware subsequente pelo fornecedor — consulte o boletim oficial para o número de build exato antes de considerar o ambiente corrigido, pois esse detalhe não pôde ser confirmado de forma independente nas fontes lidas para este texto.

Se a atualização imediata não for viável, o controle compensatório mais eficaz é remover a exposição direta da interface de gerenciamento do SMA100 à internet pública, restringindo acesso por VPN de gestão, lista de IPs permitidos ou segmentação de rede — já que a falha exige apenas alcance de rede, sem autenticação. Um WAF com regras de detecção de SQL Injection pode reduzir o risco, mas não é substituto confiável para o patch, dado que a falha está na lógica de consulta do próprio aplicativo.

Não soluciona o problema apenas trocar senhas de administração ou desativar contas de usuário: como a exploração é não autenticada, essas medidas não interrompem o vetor. O controle real é isolamento de rede combinado com atualização de firmware.

Sinal de tentativa de exploração em logs de acesso web do SMA100: requisições HTTP/HTTPS para endpoints de administração/gerenciamento contendo caracteres típicos de injeção SQL (aspas, comentários SQL, operadores UNION/OR) em parâmetros de query ou corpo de requisição, originadas sem sessão autenticada prévia. A existência de template Nuclei público sugere que scanners automatizados testam esse endpoint em massa — picos de requisições repetidas com payloads de SQLi contra o mesmo dispositivo, vindas de faixas de IP associadas a scanning em massa, são indício forte.

Não há, nas fontes analisadas, indicador de comprometimento (IOC) oficial publicado pelo fornecedor ou pela CISA associado a essa CVE especificamente — a ausência de assinatura oficial confiável significa que a detecção depende de logging detalhado da própria aplicação web do appliance, que em muitos casos é limitado.