CVE-2025-40602

CVE-2025-40602 ist eine lokale Schwachstelle zur Rechteausweitung in der Appliance-Management-Konsole (AMC) von SonicWall Secure Mobile Access (SMA) Appliances der 1000er-Serie. Die Schwachstelle beruht auf unzureichender Autorisierung in der AMC, die es authentifizierten Remote-Angreifern ermöglicht, auf betroffenen Geräten Rechte auszuweiten. In Kombination mit CVE-2025-23006 können Angreifer eine nicht authentifizierte Remote-Codeausführung mit Root-Rechten erreichen. Diese Zero-Day-Schwachstelle wurde aktiv in freier Wildbahn ausgenutzt und am 17. Dezember 2025 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities Catalog) von CISA aufgenommen.

Wie funktioniert diese Erkennungsmethode?

Diese Nuclei-Vorlage verwendet einen streng konservativen Erkennungsansatz, der nur explizit verifizierte verwundbare Versionen mit vollständigen Build-Nummern markiert. Die Vorlage verwendet zwei aktive DSL-Matcher: contains(version, "12.4.3-") && compare_versions(version, "<= 12.4.3-03093") identifiziert SMA-Appliances, die 12.4.3-Plattform-Hotfix-Builds mit der Nummer 03093 oder niedriger ausführen, während contains(version, "12.5.0-") && compare_versions(version, "<= 12.5.0-02002") auf 12.5.0-Builds mit der Nummer 02002 oder niedriger abzielt. Die Versionsinformationen werden aus dem HTTP-Server-Header extrahiert (z. B. Server: SMA/12.4.3-03093), und die Erkennung erfordert sowohl ein erfolgreiches Versions-Matching als auch eine Überprüfung des Body-Inhalts, die das Vorhandensein von „Appliance Management Console" oder „SonicWall" bestätigt.

Bemerkenswerterweise enthält die Vorlage auskommentierte Matcher für mehrdeutige Versionen (version == "12.4.3" und version == "12.5" || version == "12.5.0"), denen Build-Nummern fehlen – diese sind absichtlich deaktiviert, um Fehlalarme zu vermeiden, da Versionen ohne Build-Nummern den Schwachstellenstatus nicht eindeutig bestimmen können (z. B. könnte SMA/12.5.0 entweder der verwundbare Build 02002 oder der gepatchte Build 02283 sein). Dieses Design gewährleistet null Fehlalarme, indem nur Systeme markiert werden, bei denen die vollständige Versionszeichenfolge (einschließlich Build-Nummer) gegen die verwundbaren Bereiche des offiziellen Sicherheitshinweises verifiziert werden kann, wodurch sich die Vorlage für hochzuverlässiges Schwachstellen-Scannen eignet, bei dem Genauigkeit gegenüber einer breiten Abdeckung priorisiert wird.

Wie führe ich dieses Skript aus?

1. Laden Sie Nuclei herunter und installieren Sie es.
2. Klonen Sie dieses Repository auf Ihr lokales System.
3. Führen Sie den folgenden Befehl aus:

nuclei -u <ip|fqdn> -t template.yaml

Oder wenn Sie eine Liste von Hosts scannen möchten, führen Sie Folgendes aus:

nuclei -l <list.txt> -t template.yaml

Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2025-40602
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
• https://www.tenable.com/blog/cve-2025-40602-sonicwall-secure-mobile-access-sma-1000-zero-day-exploited
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-sma1000-zero-day-exploited-in-attacks/

Haftungsausschluss

Nutzung auf eigene Gefahr. Ich übernehme keine Verantwortung für illegale Aktivitäten, die Sie auf Infrastruktur durchführen, die Ihnen nicht gehört oder für deren Scan Sie keine Berechtigung haben.

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert.

Kontakt

Wenn Sie Fragen zu diesem Skript zur Schwachstellenerkennung haben, kontaktieren Sie mich bitte über Signal.

Wenn Sie Kontakt aufnehmen möchten, bin ich hauptsächlich auf Twitter/X und LinkedIn aktiv.