Vulnerabilità critica nei gateway SonicWall SMA1000: RCE pre-auth utilizzando due CVE

Un gruppo di ricercatori ha scoperto una vulnerabilità, identificata come CVE-2025-40602, che interessa la serie SMA1000 di gateway di accesso sicuro di SonicWall. Questa falla è particolarmente preoccupante perché potrebbe permettere a un aggressore di aumentare i propri privilegi all’interno di un sistema, senza essere necessariamente già presente al suo interno.

Il problema è stato ufficialmente classificato con un punteggio CVSS di 6,6, ma il vero pericolo risiede nel modo in cui gli aggressori potrebbero sfruttarla. Infatti, la vulnerabilità è stata descritta come una “vulnerabilità di escalation dei privilegi locali dovuta a un’autorizzazione insufficiente nella console di gestione dell’appliance (AMC) SonicWall SMA1000″.

Questa vulnerabilità potrebbe avere un impatto significativo sulla sicurezza delle organizzazioni che utilizzano questi dispositivi per gestire la connettività dei lavoratori da remoto. È importante quindi prendere misure per mitigare il rischio e proteggere i sistemi da possibili attacchi.

Tuttavia, l’avviso di SonicWall rivela un contesto più oscuro. Questo specifico bug viene sfruttato insieme a una falla critica precedentemente segnalata , con effetti catastrofici.

“IMPORTANTE: è stato segnalato che questa vulnerabilità viene sfruttata in combinazione con CVE-2025-23006 (punteggio CVSS 9,8) per ottenere l’esecuzione di codice remoto non autenticato con privilegi di root”, avverte l’avviso .

Concatenando questi due exploit, gli aggressori possono aggirare completamente l’autenticazione (utilizzando la prima falla) e poi elevare i propri permessi a root (utilizzando la nuova falla), impadronendosi di fatto delle “chiavi del castello” senza mai aver bisogno di un nome utente o di una password validi.

La vulnerabilità è specifica della serie SMA1000 che esegue le versioni firmware 12.4.3-03093 e precedenti, oppure 12.5.0-02002 e precedenti. SonicWall esorta gli utenti ad applicare immediatamente la patch. L’azienda ha rilasciato hotfix per la piattaforma (build 12.4.3-03245 e 12.5.0-02283) per colmare la lacuna di sicurezza .

Per le organizzazioni che non possono disattivare i propri sistemi per un aggiornamento immediato, SonicWall suggerisce una soluzione alternativa: bloccare l’interfaccia di gestione. Gli amministratori dovrebbero “disabilitare l’interfaccia di gestione SSL VPN (AMC) e l’accesso SSH dalla rete Internet pubblica” e limitare l’accesso ai tunnel VPN o a specifici indirizzi IP interni.

Per non cadere dentro questi problemi, è importante prestare attenzione ad alcuni aspetti. Innanzitutto, è fondamentale applicare immediatamente le patch di sicurezza rilasciate da SonicWall, come i hotfix per la piattaforma (build 12.4.3-03245 e 12.5.0-02283). In secondo luogo, occorre limitare l’accesso ai tunnel VPN o a specifici indirizzi IP interni e disabilitare l’interfaccia di gestione SSL VPN (AMC) e l’accesso SSH dalla rete Internet pubblica.

In questo modo, si può mitigare il rischio e proteggere i sistemi da possibili attacchi.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks