CVE-2025-40602

CVE-2025-40602 è una vulnerabilità di escalation locale dei privilegi nella console di gestione dell'appliance (AMC) degli appliance SonicWall Secure Mobile Access (SMA) serie 1000. La vulnerabilità deriva da un'autorizzazione insufficiente nell'AMC, che consente a attaccanti remoti autenticati di aumentare i privilegi sui dispositivi interessati. Se combinata con CVE-2025-23006, gli attaccanti possono ottenere esecuzione remota di codice non autenticata con privilegi di root. Questa vulnerabilità zero-day è stata attivamente sfruttata in attacchi reali ed è stata aggiunta al catalogo Known Exploited Vulnerabilities della CISA il 17 dicembre 2025.

Come funziona questo metodo di rilevamento?

Questo template Nuclei utilizza un approccio di rilevamento rigorosamente conservativo che segnala solo versioni vulnerabili esplicitamente verificate con numeri di build completi. Il template impiega due matcher DSL attivi: contains(version, "12.4.3-") && compare_versions(version, "<= 12.4.3-03093") identifica gli appliance SMA che eseguono build di hotfix della piattaforma 12.4.3 numerate 03093 o inferiori, mentre contains(version, "12.5.0-") && compare_versions(version, "<= 12.5.0-02002") prende di mira le build 12.5.0 numerate 02002 o inferiori. Le informazioni sulla versione vengono estratte dall'header Server HTTP (ad es., Server: SMA/12.4.3-03093) e il rilevamento richiede sia un match riuscito della versione, sia la verifica del contenuto del body che confermi la presenza di "Appliance Management Console" o "SonicWall".

In particolare, il template include matcher commentati per versioni ambigue (version == "12.4.3" e version == "12.5" || version == "12.5.0") prive di numeri di build: questi sono disabilitati intenzionalmente per prevenire falsi positivi, poiché le versioni senza numero di build non consentono di determinare in modo definitivo lo stato di vulnerabilità (ad es., SMA/12.5.0 potrebbe essere la build vulnerabile 02002 o la build corretta 02283). Questa progettazione garantisce zero falsi positivi segnalando solo i sistemi in cui la stringa di versione completa (incluso il numero di build) può essere verificata rispetto agli intervalli vulnerabili dell'avviso ufficiale, rendendo il template adatto alla scansione di vulnerabilità ad alta affidabilità, dove l'accuratezza è prioritaria rispetto a un'ampia copertura.

Come eseguo questo script?

1. Scarica e installa Nuclei.
2. Clona questo repository sul tuo sistema locale.
3. Esegui il seguente comando:

nuclei -u <ip|fqdn> -t template.yaml

Oppure, se desideri scansionare un elenco di host, esegui:

nuclei -l <list.txt> -t template.yaml

Riferimenti

• https://nvd.nist.gov/vuln/detail/CVE-2025-40602
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
• https://www.tenable.com/blog/cve-2025-40602-sonicwall-secure-mobile-access-sma-1000-zero-day-exploited
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-sma1000-zero-day-exploited-in-attacks/

Esclusione di responsabilità

Usalo a tuo rischio e pericolo; non sarò responsabile per attività illegali condotte su infrastrutture che non possiedi o per le quali non hai il permesso di effettuare scansioni.

Licenza

Questo progetto è rilasciato sotto licenza MIT.

Contatti

Se hai domande su questo script di rilevamento delle vulnerabilità, contattami tramite Signal.

Se vuoi metterti in contatto, sono più attivo su Twitter/X e LinkedIn.