CVE-2025-23006
SonicWall SMA1000 Appliances Deserialization Vulnerability
Beschreibung
CVE-2025-23006 ist eine kritische Pre-Authentication-Deserialization-Schwachstelle in SonicWall SMA1000 Appliances, die die Appliance Management Console (AMC) und Central Management Console (CMC) betrifft. Unter bestimmten Bedingungen kann ein entfernter, nicht authentifizierter Angreifer beliebige Betriebssystembefehle ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet.
Die CISA hat CVE-2025-23006 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 14. Februar 2025. Besonders besorgniserregend ist, dass der Ransomware-Status als Known klassifiziert ist, was die Verwendung in Ransomware-Kampagnen bestaetigt. Der EPSS-Score von 41.59 % (97.3. Perzentil) unterstreicht die hohe Ausnutzungswahrscheinlichkeit. Betroffen sind SMA1000-Geraete mit Firmware vor Version 12.4.3-02854.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma8200v | < 12.4.3-02854 |
| sonicwall | sma6200 firmware | < 12.4.3-02854 |
| sonicwall | sma6210 firmware | < 12.4.3-02854 |
| sonicwall | sma7200 firmware | < 12.4.3-02854 |
| sonicwall | sma7210 firmware | < 12.4.3-02854 |
| sonicwall | sra ex6000 firmware | <= 12.4.3-02804 |
| sonicwall | sra ex7000 firmware | <= 12.4.3-02804 |
| sonicwall | sra ex9000 firmware | <= 12.4.3-02804 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0002(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-23006(US Government Resource)
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2025-23006 wurde kein spezifischer CWE-Typ offiziell zugewiesen. Technisch handelt es sich um eine Deserialisierung nicht vertrauenswuerdiger Daten, die konzeptionell CWE-502 (Deserialization of Untrusted Data) entspricht. Bei dieser Schwachstellenklasse deserialisiert eine Anwendung Daten aus einer nicht vertrauenswuerdigen Quelle, ohne deren Integritaet oder Typ angemessen zu validieren. Ein Angreifer kann manipulierte serialisierte Objekte erstellen, die bei der Deserialisierung beliebigen Code ausfuehren.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-23006 sind aufgrund der Pre-Authentication-Natur und der Rolle von SMA1000-Geraeten als VPN-Zugangspunkte als aeusserst kritisch einzustufen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt einen netzwerkbasierten Angriff ohne jegliche Einschraenkungen. Vertraulichkeit (Hoch): Die Kompromittierung eines SMA1000-Geraets gibt einem Angreifer Zugang zu VPN-Sitzungsdaten, Benutzeranmeldeinformationen und potenziell zum gesamten internen Netzwerk. Integritaet (Hoch): Beliebige OS-Befehlsausfuehrung ermoeglicht die Installation von Backdoors, Manipulation von VPN-Konfigurationen und die Einschleusung von Man-in-the-Middle-Angriffen auf VPN-Tunnel. Verfuegbarkeit (Hoch): Der Angreifer kann das VPN-Gateway ausser Betrieb setzen und damit den Remote-Zugang fuer alle Benutzer unterbrechen.
Der Ransomware-Status Known bestaetigt die aktive Nutzung in Ransomware-Kampagnen. Der EPSS-Score von 41.59 % (97.3. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. SMA1000-Geraete sind typischerweise direkt am Internet-Perimeter positioniert, was sie zu bevorzugten Angriffszielen macht.
Exploit-Reifegrad
CVE-2025-23006 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. SonicWall hat ein Sicherheitsadvisory ueber PSIRT (SNWLID-2025-0002) veroeffentlicht. Der EPSS-Score von 41.59 % (97.3. Perzentil) bestaetigt die hohe Ausnutzungswahrscheinlichkeit. Besonders besorgniserregend ist die bestaettigte Verwendung in Ransomware-Kampagnen (Ransomware-Status: Known), was auf eine breite Ausnutzung durch organisierte Cyberkriminalitaet hindeutet.
Behebung
-
Firmware umgehend aktualisieren: Aktualisieren Sie alle SonicWall SMA1000-Geraete auf Firmware-Version 12.4.3-02854 oder hoeher. Fuer SRA EX6000, EX7000 und EX9000 pruefen Sie, ob Patches verfuegbar sind, da diese Geraete ebenfalls betroffen sein koennen. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein.
-
AMC- und CMC-Zugang einschraenken: Beschraenken Sie den Zugang zu den Management-Konsolen (AMC und CMC) auf dedizierte Administrationsnetze. Stellen Sie sicher, dass die Management-Interfaces nicht direkt aus dem Internet erreichbar sind, da die Schwachstelle speziell diese Konsolen betrifft.
-
Geraete auf Kompromittierung pruefen: Untersuchen Sie die SMA1000-Geraete auf Anzeichen einer Kompromittierung, insbesondere unbekannte Dateien, verdaechtige Prozesse und ungewoehnliche Netzwerkverbindungen. Pruefen Sie die Geraete-Logs auf verdaechtige Aktivitaeten im Zusammenhang mit den Management-Konsolen.
-
Incident-Response-Plan aktivieren: Da die Schwachstelle in Ransomware-Kampagnen verwendet wird, sollte bei Verdacht auf Kompromittierung sofort der Incident-Response-Plan aktiviert werden. Isolieren Sie betroffene Geraete, sichern Sie Logs und benachrichtigen Sie das Security-Team.
-
VPN-Zugangsdaten rotieren: Setzen Sie alle VPN-Benutzeranmeldeinformationen zurueck und erzwingen Sie Passwortaenderungen fuer alle Benutzer, die ueber betroffene SMA1000-Geraete auf das Netzwerk zugegriffen haben.
Technische Details
CVE-2025-23006 betrifft die Appliance Management Console (AMC) und Central Management Console (CMC) der SonicWall SMA1000 Serie. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) durchfuehrbar ist.
Die Schwachstelle basiert auf der unsicheren Deserialisierung nicht vertrauenswuerdiger Daten in den Management-Konsolen. Bei der Deserialisierung werden Bytestreams zurueck in Objekte konvertiert. Wenn die Anwendung die deserialisierten Daten nicht ordnungsgemaess validiert, kann ein Angreifer manipulierte serialisierte Objekte erstellen, die bei der Verarbeitung beliebige Betriebssystembefehle ausfuehren. Da die Schwachstelle im Pre-Authentication-Bereich liegt, ist keine Anmeldung erforderlich.
Betroffen sind SonicWall SMA8200v, SMA6200, SMA6210, SMA7200 und SMA7210 mit Firmware vor 12.4.3-02854 sowie SRA EX6000, EX7000 und EX9000 mit Firmware bis einschliesslich 12.4.3-02804. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt. Die Pre-Authentication-Natur der Schwachstelle in Kombination mit der Internet-Exponierung von SMA-Geraeten macht diese Schwachstelle besonders gefaehrlich.
Häufig gestellte Fragen
Wird CVE-2025-23006 aktiv ausgenutzt?
Ja, CVE-2025-23006 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Besonders besorgniserregend ist, dass die Schwachstelle in bestaettigten Ransomware-Kampagnen eingesetzt wird (Ransomware-Status: Known). Der EPSS-Score von 41.59 % unterstreicht die hohe Ausnutzungswahrscheinlichkeit.
Welche SonicWall-Geraete sind betroffen?
Betroffen sind SonicWall SMA8200v, SMA6200, SMA6210, SMA7200 und SMA7210 mit Firmware vor 12.4.3-02854. Zusaetzlich sind SRA EX6000, EX7000 und EX9000 mit Firmware bis einschliesslich 12.4.3-02804 betroffen.
Wird CVE-2025-23006 in Ransomware-Angriffen verwendet?
Ja, der Ransomware-Status ist als Known klassifiziert, was die bestaettigte Verwendung in Ransomware-Kampagnen anzeigt. SMA1000-Geraete sind als VPN-Zugangspunkte besonders attraktive Ziele fuer Ransomware-Gruppen, da sie den Zugang zum internen Netzwerk ermoeglicht.
Wie behebe ich CVE-2025-23006?
Aktualisieren Sie die Firmware aller betroffenen SMA1000-Geraete auf Version 12.4.3-02854 oder hoeher. Beschraenken Sie zusaetzlich den Zugang zu den Management-Konsolen (AMC/CMC) auf dedizierte Administrationsnetze und pruefen Sie die Geraete auf Anzeichen einer Kompromittierung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.