CVE-2025-40602

CVE-2025-40602 est une vulnérabilité d'élévation de privilèges locaux dans la console de gestion des appliances (AMC) des appareils SonicWall Secure Mobile Access (SMA) série 1000. La vulnérabilité provient d'une autorisation insuffisante dans l'AMC, permettant à des attaquants distants authentifiés d'élever leurs privilèges sur les appareils concernés. Enchaînée avec CVE-2025-23006, elle permet aux attaquants d'exécuter du code à distance sans authentification avec les privilèges root. Cette vulnérabilité zero-day a été activement exploitée dans la nature et a été ajoutée au catalogue des vulnérabilités connues exploitées de la CISA le 17 décembre 2025.

Comment fonctionne cette méthode de détection ?

Ce modèle Nuclei utilise une approche de détection strictement conservative qui ne signale que les versions vulnérables explicitement vérifiées avec des numéros de build complets. Le modèle utilise deux matchers DSL actifs : contains(version, "12.4.3-") && compare_versions(version, "<= 12.4.3-03093") identifie les appliances SMA exécutant des builds hotfix de la plateforme 12.4.3 numérotés 03093 ou inférieurs, tandis que contains(version, "12.5.0-") && compare_versions(version, "<= 12.5.0-02002") cible les builds 12.5.0 numérotés 02002 ou inférieurs. Les informations de version sont extraites de l'en-tête HTTP Server (par exemple, Server: SMA/12.4.3-03093), et la détection nécessite à la fois une correspondance de version réussie ET une vérification du contenu du corps confirmant la présence de "Appliance Management Console" ou "SonicWall".

Notablement, le modèle inclut des matchers commentés pour les versions ambiguës (version == "12.4.3" et version == "12.5" || version == "12.5.0") qui manquent de numéros de build—ceux-ci sont intentionnellement désactivés pour éviter les faux positifs, car les versions sans numéros de build ne peuvent pas déterminer de manière définitive le statut de vulnérabilité (par exemple, SMA/12.5.0 pourrait être soit le build vulnérable 02002 soit le build corrigé 02283). Cette conception garantit zéro faux positif en ne signalant que les systèmes où la chaîne de version complète (incluant le numéro de build) peut être vérifiée par rapport aux plages vulnérables de l'avis officiel, rendant le modèle adapté à l'analyse de vulnérabilité à haute confiance où la précision est priorisée sur une couverture large.

Comment exécuter ce script ?

1. Téléchargez et installez Nuclei.
2. Clonez ce dépôt sur votre système local.
3. Exécutez la commande suivante :

nuclei -u <ip|fqdn> -t template.yaml

Ou si vous souhaitez analyser une liste d'hôtes, exécutez :

nuclei -l <list.txt> -t template.yaml

Références

• https://nvd.nist.gov/vuln/detail/CVE-2025-40602
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
• https://www.tenable.com/blog/cve-2025-40602-sonicwall-secure-mobile-access-sma-1000-zero-day-exploited
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-sma1000-zero-day-exploited-in-attacks/

Avertissement

Utilisez-le à vos propres risques, je ne serai pas responsable des activités illégales que vous menez sur une infrastructure qui ne vous appartient pas ou pour laquelle vous n'avez pas l'autorisation d'analyse.

Licence

Ce projet est sous licence MIT.

Contact

Si vous avez des questions concernant ce script de détection de vulnérabilité, contactez-moi via Signal.

Si vous souhaitez vous connecter, je suis principalement actif sur Twitter/X et LinkedIn.