SonicWall-Firewall: Lücke im SSLVPN umgeht die SAML-Anmeldung

Was die Lücke erlaubt — und was sie einschränkt

Die Schwachstelle trägt die Nummer CVE-2026-19868. SonicWall beschreibt sie als „unzureichende Durchsetzung der Authentifizierung" (CWE-308, Nutzung von Ein-Faktor-Authentifizierung). Umgangssprachlich: Wer gültige Zugangsdaten für eine alternative Anmeldemethode besitzt, kann die SAML-Anmeldung umgehen — und damit auch die Mehr-Faktor-Authentifizierung, die über SAML eigentlich erzwungen wird. Der zweite Faktor ist in diesem Weg nicht geknackt, sondern umgangen.

Zwei Einschränkungen gehören sauber dazugesagt, auch wenn sie die Sache nicht harmloser machen:

• Betroffen ist nur der SSLVPN-Dienst, und nur, wenn SAML dort für Anmeldungen aktiviert ist. Wer keinen SSLVPN nutzt oder lokal authentifiziert, liegt nicht in diesem Angriffsweg.
• Voraussetzung sind gültige Zugangsdaten für eine Alternativmethode. Es reicht also ein altes, vergessenes Konto oder eine zweite Anmeldemöglichkeit, die niemand mehr auf dem Schirm hat — die Firewall selbst muss dafür nicht aufgebrochen werden.

SonicWall weist der Lücke einen CVSS-Wert von 7,1 zu, Risiko „hoch", und schreibt, es gebe keinen Zwischenweg: Nur das Update schließt sie.

Welche Versionen betroffen sind

• Gen7-Hardware (TZ270 bis TZ670, NSa 2700 bis 6700, NSsp 10700 bis 15700) und Gen7 NSv (270, 470, 870): betroffen bis einschließlich SonicOS 7.3.3-7015 — behoben ab 7.3.4-7013.
• Gen8-Hardware (TZ80 bis TZ680, NSa 2800 bis 5800) und Gen8 NSv (XS, S, M, L): betroffen bis einschließlich SonicOS 8.2.2-8015 — behoben ab 8.2.3-8015.

Die Liste ist nicht die einzige Baustelle vom selben Tag. Von den sieben Lücken gelten drei weitere als hochriskant, darunter eine fehlerhafte Session-Prüfung mit CVSS 8,8. Und wer das Global Management System (GMS) einsetzt, hat ein anderes Problem: dafür gibt es keine Updates mehr. Die Management-Software ist am Ende ihres Lebenszyklus und muss auf den Nachfolger Network Security Manager migriert werden.

Was jetzt zu tun ist

Fünf Schritte, die sich an einem Vormittag erledigen lassen:

1. Version prüfen. Steht auf der Firewall eine Fassung 7.3.3-7015 oder älter beziehungsweise 8.2.2-8015 oder älter? Dann ist sie im betroffenen Bereich.

2. Update einspielen. Auf die feste Fassung aktualisieren und — das wird gern vergessen — danach sichern, dass die Anmeldung über SAML noch funktioniert. Ein Update, das den Fernzugriff aussperrt, wird sonst zum Wochenendthema.

3. Konten aufräumen. Gibt es am SSLVPN neben SAML noch eine zweite, aktive Anmeldemethode? Wer nutzt sie — und braucht sie noch jemand? Genau dieser Weg ist der Angriffsweg.

4. Nachsehen statt hoffen. Anmeldeprotokolle des SSLVPN auf ungewöhnliche Zeiten, Orte und Konten durchsehen, besonders seit Monatsanfang. Auffällig sind Anmeldungen außerhalb der üblichen Arbeitszeit und Konten, die eigentlich niemand mehr benutzt.

5. Notfallgriff festlegen. Wer darf im Verdachtsfall Konten sperren, Sitzungen beenden und Passwörter zurücksetzen? Wer das im Ernstfall zum ersten Mal tut, braucht zu lange.

Warum das gerade Betriebe ohne IT-Abteilung trifft

Die Firewall ist bei den meisten Betrieben das einzige Gerät, das rund um die Uhr aus dem Internet erreichbar ist. Ein Fernzugriff ist eingerichtet, weil Homeoffice und Außendienst ihn brauchen — und dann bleibt er stehen, ohne dass jemand die Versionen oder die Konten dahinter pflegt. Für Unternehmen in Fürstenfeldbruck, Augsburg und im Umland gilt dabei nichts anderes als für einen Konzern mit eigener IT-Abteilung, außer an einem Punkt: Es gibt niemanden, der die Patchmeldung des Herstellers liest, wenn sie freitagnachmittags eintrifft. Genau deshalb gehört ein wiederkehrender Blick auf Versionen und Konten auf die Liste — nicht nur dann, wenn die Warnung schon durch die Presse geht.

Wenn Sie prüfen wollen, wo Ihre Firewall steht, sehen wir uns Ihren Fernzugriff mit an: welche Version läuft, wer sich wie anmeldet und welche Konten noch offenstehen. Kein Werkzeugkatalog, sondern die drei Handgriffe, die zählen.