ハッカーがSonicWall SMA1000のゼロデイを積極的に悪用し、権限を昇格

SonicWallは、同社のSMA1000アプライアンスに影響するローカル権限昇格の脆弱性が実際に悪用されているとして、緊急のセキュリティ勧告を発表しました。

CVE-2025-40602として追跡されているこの欠陥により、管理コンソールへのアクセス権を持つ攻撃者が権限を昇格し、最終的にシステムを完全に制御できる可能性があります。

この脆弱性は、SonicWall SMA1000のアプライアンス管理コンソール（AMC）における認可チェックの不備に起因します。

Google Threat Intelligence Groupの研究者は、このセキュリティ上の欠陥が別の重大な脆弱性と連鎖され、認証なしでリモートコード実行をroot権限で達成できる可能性があることを発見しました。

この2段階攻撃は、SonicWallのリモートアクセス基盤に依存する組織にとって重大なリスクとなります。

この脆弱性は、プラットフォームホットフィックス版12.4.3-03093以前、および12.5.0-02002以前を実行しているSMA1000デバイスに影響します。

SonicWallは、この欠陥はスタンドアロンのファイアウォールにおけるSSL-VPN機能には影響しないと明確にし、露出は限定されるものの、SMA1000アプライアンス利用者にとっては依然として大きなリスクがあるとしています。

脅威アクターは、CVSSスコア9.8の別の重大な脆弱性であるCVE-2025-23006と組み合わせて、CVE-2025-40602を積極的に悪用しています。

前者の欠陥は、2025年1月22日にリリースされたビルド版12.4.3-02854で修正されました。これらの脆弱性を連鎖させることで、攻撃者は認証を完全に回避し、rootアクセスで悪意のあるコードを実行できます。

SonicWallはこの脆弱性に対処するための修正版をリリースしました。組織は保護を得るために、プラットフォームホットフィックス12.4.3-03245以上、または12.5.0-02283以上へアップグレードする必要があります。セキュリティパッチは、登録ユーザー向けにmysonicwall.comから入手できます。

パッチ適用が完了するまでの間、SonicWallはアプライアンス管理コンソールに対して厳格なアクセス制御を実装することを推奨しています。

管理者は、SSHアクセスを社内のVPN接続または指定した管理用IPアドレスのみに厳格に制限すべきです。

さらに、暫定的な緩和策として、AMCおよびSSHサービスへの公開インターネットからのアクセスを無効化することが強く推奨されます。

SonicWall PSIRTは、すべてのSMA1000ユーザーに対し、最新のホットフィックスリリースへのアップグレードを直ちに最優先で行うよう促しています。

実際に悪用が進行していること、そしてCVE-2025-23006と組み合わせた場合の脆弱性の重大性を踏まえると、組織はインフラ全体にわたって修正を展開するよう緊急の対応を迫られています。