CVE-2025-40602
SonicWall SMA1000 Missing Authorization Vulnerability
Beschreibung
CVE-2025-40602 ist eine Schwachstelle mittlerer Schwere (CVSS 6.6 MEDIUM) in der SonicWall SMA1000-Appliance, die eine lokale Privilegien-Eskalation über die Appliance Management Console (AMC) ermöglicht. Die Schwachstelle basiert auf unzureichender Autorisierung und der Ausführung mit unnötigen Privilegien. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, obwohl der EPSS-Wert mit 0,309 % (53,7. Perzentil) vergleichsweise niedrig ist. Der Ransomware-Status ist als "Unknown" klassifiziert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma6200 firmware | < 12.4.3-03245; >= 12.5.0, < 12.5.0-02283 |
| sonicwall | sma6210 firmware | < 12.4.3-03245; >= 12.5.0, < 12.5.0-02283 |
| sonicwall | sma7200 firmware | < 12.4.3-03245; >= 12.5.0, < 12.5.0-02283 |
| sonicwall | sma7210 firmware | < 12.4.3-03245; >= 12.5.0, < 12.5.0-02283 |
| sonicwall | sma8200v | < 12.4.3-03245; >= 12.5.0, < 12.5.0-02283 |
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-40602(US Government Resource)
Schwachstellentyp
CWE-250: Execution with Unnecessary Privileges
CWE-250 beschreibt Situationen, in denen Software mit höheren Privilegien ausgeführt wird als für ihre Funktion erforderlich. Im Fall von CVE-2025-40602 können bestimmte Operationen in der SonicWall AMC mit erhöhten Systemprivilegien ausgeführt werden, die über das notwendige Maß hinausgehen. Mehr erfahren
CWE-862: Missing Authorization
CWE-862 beschreibt fehlende Autorisierungsprüfungen, bei denen eine Anwendung nicht verifiziert, ob ein Benutzer die notwendigen Berechtigungen für eine angeforderte Aktion besitzt. In Kombination mit CWE-250 ermöglicht dies einem authentifizierten Angreifer mit hohen Privilegien, seine Rechte auf dem System weiter zu eskalieren. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-40602 betreffen alle drei Sicherheitsdimensionen mit hoher Schwere (C:H/I:H/A:H), sind jedoch durch die Angriffsbedingungen eingeschränkt. Vertraulichkeit: Ein erfolgreicher Angriff ermöglicht den Zugriff auf vertrauliche Konfigurationsdaten, VPN-Einstellungen und möglicherweise Zugangsdaten, die auf der SMA1000-Appliance gespeichert sind. Integrität: Die Eskalation zu Root-Rechten ermöglicht die Manipulation der Firewall-Konfiguration, VPN-Policies und Systemdateien. Verfügbarkeit: Die Appliance kann vollständig übernommen oder außer Betrieb gesetzt werden. Die einschränkenden Faktoren sind die hohe Angriffskomplexität (AC:H) und die Notwendigkeit hoher Privilegien (PR:H) -- ein Angreifer muss bereits über einen administrativen Zugang zur AMC verfügen. Dies erklärt den moderaten CVSS-Score von 6.6 trotz der hohen Auswirkungen auf die Sicherheitsdimensionen. Dennoch wurde die Schwachstelle in den KEV-Katalog mit Frist zum 24. Dezember 2025 aufgenommen, was auf gezielte Ausnutzung in realen Angriffsszenarien hindeutet. Der EPSS-Wert von 0,309 % (53,7. Perzentil) ist vergleichsweise niedrig. Der Ransomware-Status ist als "Unknown" eingestuft.
Exploit-Reifegrad
CVE-2025-40602 wurde von CISA in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen mit einer Behebungsfrist bis zum 24. Dezember 2025, was eine aktive Ausnutzung bestätigt. Der EPSS-Wert von 0,309 % im 53,7. Perzentil ist vergleichsweise niedrig, was auf eine begrenzte, aber gezielte Ausnutzung hindeutet -- typisch für Schwachstellen, die hohe Privilegien erfordern und in gezielten Angriffen gegen spezifische Organisationen eingesetzt werden. SonicWall hat ein PSIRT Advisory (SNWLID-2025-0019) veröffentlicht. Der Ransomware-Zusammenhang ist als "Unknown" klassifiziert, jedoch sind SonicWall-Appliances bekannte Ziele für Ransomware-Gruppen.
Behebung
- SMA1000-Firmware aktualisieren -- Aktualisieren Sie die Firmware auf Version 12.4.3-03245 oder höher (12.4.x-Zweig) bzw. 12.5.0-02283 oder höher (12.5.x-Zweig) gemäß dem SonicWall PSIRT Advisory.
- AMC-Zugang einschränken -- Beschränken Sie den Zugriff auf die Appliance Management Console auf dedizierte Management-Netzwerke und autorisierte Administratoren. Verwenden Sie IP-basierte Zugangsbeschränkungen.
- Administratorkonten auditieren -- Überprüfen Sie alle administrativen Konten auf der SMA1000-Appliance, entfernen Sie nicht benötigte Konten und stellen Sie sicher, dass starke, einzigartige Passwörter verwendet werden.
- Multi-Faktor-Authentifizierung aktivieren -- Aktivieren Sie MFA für den Zugang zur AMC, um die Hürde für Angreifer zu erhöhen, die kompromittierte Zugangsdaten nutzen.
- Logging und Monitoring verstärken -- Überwachen Sie AMC-Zugriffe und Konfigurationsänderungen auf der SMA1000 und leiten Sie Logs an ein zentrales SIEM-System weiter.
Technische Details
Der CVSS v3.1-Vektor CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 6.6 (MEDIUM). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, wobei die Appliance Management Console als Eintrittspunkt dient. Angriffskomplexität (AC:H): Die Ausnutzung erfordert spezielle Bedingungen oder Voraussetzungen, was die praktische Durchführung erschwert. Erforderliche Privilegien (PR:H): Ein Angreifer benötigt bereits administrative Privilegien auf der AMC, was die Angriffsfläche deutlich einschränkt. Benutzerinteraktion (UI:N): Keine Mitwirkung eines anderen Benutzers ist erforderlich. Die Schwachstelle kombiniert zwei Schwachstellenklassen: Unzureichende Autorisierung (CWE-862) ermöglicht es einem privilegierten Benutzer, auf Funktionen zuzugreifen, die eigentlich zusätzliche Berechtigungen erfordern sollten. In Kombination mit der Ausführung mit unnötigen Privilegien (CWE-250) kann der Angreifer von administrativen AMC-Rechten auf Betriebssystem-Ebene eskalieren und Root-Zugriff auf die SMA1000-Appliance erlangen. Betroffen sind die SonicWall SMA6200, SMA6210, SMA7200, SMA7210 und SMA8200v mit Firmware-Versionen vor 12.4.3-03245 sowie Versionen im Bereich 12.5.0 vor 12.5.0-02283.
Häufig gestellte Fragen
Was ist CVE-2025-40602?
CVE-2025-40602 ist eine Privilegien-Eskalations-Schwachstelle in der SonicWall SMA1000-Appliance. Ein Angreifer mit administrativem Zugang zur Appliance Management Console kann seine Rechte auf Betriebssystem-Ebene eskalieren und Root-Zugriff erlangen.
Welche SonicWall-Geräte sind betroffen?
Betroffen sind die SonicWall SMA6200, SMA6210, SMA7200, SMA7210 und SMA8200v mit Firmware-Versionen vor 12.4.3-03245 oder im 12.5.x-Zweig vor 12.5.0-02283.
Warum ist die Schwachstelle trotz CVSS 6.6 im KEV-Katalog?
Obwohl der CVSS-Score moderat ist, wird die Schwachstelle aktiv in gezielten Angriffen ausgenutzt. SonicWall-Appliances sind häufige Ziele für fortgeschrittene Angreifer, und eine Privilegien-Eskalation auf einer VPN-Appliance kann den Zugang zum gesamten Netzwerk ermöglichen.
Benötigt der Angreifer bereits Zugang zur Appliance?
Ja, der Angreifer benötigt bereits administrative Privilegien auf der Appliance Management Console. Dies kann jedoch durch kompromittierte Zugangsdaten, Phishing oder die Kombination mit anderen Schwachstellen erreicht werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.