CVE-2025-40602

CVE-2025-40602 es una vulnerabilidad de escalada de privilegios local en la consola de gestión del dispositivo (AMC) de los dispositivos SonicWall Secure Mobile Access (SMA) serie 1000. La vulnerabilidad se origina por una autorización insuficiente en la AMC, lo que permite a atacantes remotos autenticados escalar privilegios en los dispositivos afectados. Cuando se encadena con CVE-2025-23006, los atacantes pueden lograr ejecución remota de código sin autenticación con privilegios de root. Esta vulnerabilidad de día cero ha sido explotada activamente en entornos reales y fue añadida al catálogo de vulnerabilidades conocidas explotadas de CISA el 17 de diciembre de 2025.

¿Cómo funciona este método de detección?

Esta plantilla de Nuclei utiliza un enfoque de detección estrictamente conservador que solo marca versiones vulnerables explícitamente verificadas con números de compilación completos. La plantilla emplea dos comparadores DSL activos: contains(version, "12.4.3-") && compare_versions(version, "<= 12.4.3-03093") identifica dispositivos SMA que ejecutan compilaciones de parches de plataforma 12.4.3 numeradas 03093 o inferiores, mientras que contains(version, "12.5.0-") && compare_versions(version, "<= 12.5.0-02002") se dirige a compilaciones 12.5.0 numeradas 02002 o inferiores. La información de versión se extrae del encabezado HTTP Server (ej., Server: SMA/12.4.3-03093), y la detección requiere tanto la coincidencia exitosa de la versión como la verificación del contenido del cuerpo que confirme la presencia de "Appliance Management Console" o "SonicWall".

Notablemente, la plantilla incluye comparadores comentados para versiones ambiguas (version == "12.4.3" y version == "12.5" || version == "12.5.0") que carecen de números de compilación; estos están intencionalmente deshabilitados para evitar falsos positivos, ya que las versiones sin números de compilación no pueden determinar definitivamente el estado de vulnerabilidad (ej., SMA/12.5.0 podría ser la compilación vulnerable 02002 o la compilación parcheada 02283). Este diseño garantiza cero falsos positivos al marcar solo sistemas donde la cadena de versión completa (incluyendo el número de compilación) puede verificarse contra los rangos vulnerables del aviso oficial, lo que hace que la plantilla sea adecuada para escaneos de vulnerabilidades de alta confianza donde la precisión se prioriza sobre una cobertura amplia.

¿Cómo ejecuto este script?

1. Descargue e instale Nuclei.
2. Clone este repositorio en su sistema local.
3. Ejecute el siguiente comando:

nuclei -u <ip|fqdn> -t template.yaml

O si desea escanear una lista de hosts, ejecute:

nuclei -l <list.txt> -t template.yaml

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2025-40602
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
• https://www.tenable.com/blog/cve-2025-40602-sonicwall-secure-mobile-access-sma-1000-zero-day-exploited
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-sma1000-zero-day-exploited-in-attacks/

Descargo de responsabilidad

Úselo bajo su propio riesgo, no seré responsable de actividades ilegales que realice en infraestructuras que no posea o no tenga permiso para escanear.

Licencia

Este proyecto está licenciado bajo la Licencia MIT.

Contacto

Si tiene alguna pregunta sobre este script de detección de vulnerabilidades, comuníquese conmigo a través de Signal.

Si desea conectar, estoy más activo en Twitter/X y LinkedIn.