NVD / CVE Program· CNA sonicwall

CVE-2021-20021: A vulnerability in the SonicWall Email Security version 10.0.9.x allows an attacker to create an administrative account by sending a crafted…

КритическаяCVSS 9.8 · v3.1KEVГотовый эксплойт Исправление не зафиксировано

Оценка Noroxi

Приоритет: Срочно (оценка срочности 96/100)

CISA подтвердило эксплуатацию в реальных атаках (3 нояб. 2021 г.); известно использование в кампаниях программ-вымогателей. Срок устранения для федеральных ведомств США: 17 нояб. 2021 г.
Опубликован готовый модуль атаки (Nuclei); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 88,7% (FIRST EPSS); выше, чем у 99,7% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Согласно записи, исправленной версии пока нет.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Установите исправление сегодня или закройте доступ. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

A vulnerability in the SonicWall Email Security version 10.0.9.x allows an attacker to create an administrative account by sending a crafted HTTP request to the remote host.

Без аутентификации

Опубликовано: 9 апр. 2021 г.
Обновлено: 12 авг. 2026 г.
EPSS: 88,7 % · 99-й процентиль
CWE: CWE-269

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 27 / 30 · 88,7 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: да
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 нояб. 2021 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 17 нояб. 2021 г..

Известно об использовании в кампаниях с программами-вымогателями.

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
sonicwall	email security	cpe:2.3:a:sonicwall:email_security
sonicwall	email security appliance 9000 firmware	cpe:2.3:o:sonicwall:email_security_appliance_9000_firmware
sonicwall	email security appliance 9000	cpe:2.3:h:sonicwall:email_security_appliance_9000
sonicwall	email security appliance 3300 firmware	cpe:2.3:o:sonicwall:email_security_appliance_3300_firmware
sonicwall	email security appliance 3300	cpe:2.3:h:sonicwall:email_security_appliance_3300
sonicwall	email security appliance 4300 firmware	cpe:2.3:o:sonicwall:email_security_appliance_4300_firmware
sonicwall	email security appliance 4300	cpe:2.3:h:sonicwall:email_security_appliance_4300
sonicwall	email security appliance 8300 firmware	cpe:2.3:o:sonicwall:email_security_appliance_8300_firmware
sonicwall	email security appliance 8300	cpe:2.3:h:sonicwall:email_security_appliance_8300
sonicwall	email security appliance 5000 firmware	cpe:2.3:o:sonicwall:email_security_appliance_5000_firmware
sonicwall	email security appliance 5000	cpe:2.3:h:sonicwall:email_security_appliance_5000
sonicwall	email security appliance 7000 firmware	cpe:2.3:o:sonicwall:email_security_appliance_7000_firmware

и ещё 8

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (sonicwall). Не зависят от анализа CPE в NVD и обычно опережают его.

SonicWall Email Security
- 10.0.9 and earlierзатронута

Затронутые версии · NVD (11)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

sonicwall email securityдо 10.0.9.6103
sonicwall email security appliance 3300 firmwareдо 10.0.9.6105
sonicwall email security appliance 4300 firmwareдо 10.0.9.6105
sonicwall email security appliance 5000 firmwareдо 10.0.9.6105
sonicwall email security appliance 5050 firmwareдо 10.0.9.6105
sonicwall email security appliance 7000 firmwareдо 10.0.9.6105
sonicwall email security appliance 7050 firmwareдо 10.0.9.6105
sonicwall email security appliance 8300 firmwareдо 10.0.9.6105
sonicwall email security appliance 9000 firmwareдо 10.0.9.6105
sonicwall email security virtual applianceдо 10.0.9.6105
sonicwall hosted email securityдо 10.0.9.6103

Тот же продукт

sonicwall: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-20023SonicWall Email Security version 10.0.9.x contains a vulnerability that allows a post-authenticated attacker to read an arbitrary file on…KEV
65На этой неделе
CVE-2021-20022SonicWall Email Security version 10.0.9.x contains a vulnerability that allows a post-authenticated attacker to upload an arbitrary file to…KEV
63На этой неделе
CVE-2026-66150Improper Control of Generation of Code ('Code Injection') Vulnerability in the SonicWall Email Security appliance allows an authenticated…
31Наблюдать

Опубликованы до и после этой записи в том же продукте

Позже →CVE-2023-065513 февр. 2023 г. · SonicWall Email Security contains a vulnerability that could permit a remote unauthenticated attacker access to an error page that includes…
21Наблюдать
Позже →CVE-2024-2239814 мар. 2024 г. · An improper Limitation of a Pathname to a Restricted Directory (Path Traversal) vulnerability in SonicWall Email Security Appliance could…
19Наблюдать
Позже →CVE-2026-346831 мар. 2026 г. · A stored Cross-Site Scripting (XSS) vulnerability has been identified in the SonicWall Email Security appliance due to improper…
19Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2021-20021	—
Репозиторий PoC на GitHub	stars:2	2023-09-07

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация9 апр. 2021 г.
CISA KEV3 нояб. 2021 г.+207 дн.
Первый PoC7 сент. 2023 г.+880 дн.
Сегодня14 нояб. 2026 г.+2045 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-21-0337 · 21 апр. 2021 г.(SonicWall Güvenlik Zafiyeti)

Все национальные уведомления →

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-269 · Improper Privilege Management

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Для упрощения развёртывания сервисной учётной записи выдаются широкие права на уровне всего кластера. Принцип минимальных привилегий на этапе установки игнорируется.

Ошибка в коде

Весь класс CWE-269

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

yaml

1kind: ClusterRole
2rules:
3  - apiGroups: ["*"]
4    resources: ["*"]
5    verbs: ["*"]

Исправленный код

yaml

1kind: Role
2metadata:
3  namespace: lodos-system
4rules:
5  - apiGroups: ["apps"]
6    resources: ["deployments"]
7    verbs: ["get", "list", "update"]