CVE-2025-40602

CVE-2025-40602 是 SonicWall Secure Mobile Access (SMA) 1000 系列设备管理控制台 (AMC) 中的一个本地权限提升漏洞。该漏洞源于 AMC 中的授权不足，允许经过身份验证的远程攻击者在受影响设备上提升权限。当与 CVE-2025-23006 链式利用时，攻击者可以实现未经身份验证的远程代码执行并获得 root 权限。此零日漏洞已在野外被积极利用，并于 2025 年 12 月 17 日被添加到 CISA 的已知被利用漏洞目录中。

此检测方法如何工作？

此 Nuclei 模板采用严格保守的检测方法，仅标记具有完整构建编号且明确验证过的易受攻击版本。该模板使用两个主动 DSL 匹配器：contains(version, "12.4.3-") && compare_versions(version, "<= 12.4.3-03093") 识别运行 03093 或更低版本 12.4.3 平台热修复构建的 SMA 设备，而 contains(version, "12.5.0-") && compare_versions(version, "<= 12.5.0-02002") 针对 02002 或更低版本的 12.5.0 构建。版本信息从 HTTP 服务器头（例如 Server: SMA/12.4.3-03093）中提取，检测需要同时满足版本匹配成功 AND 主体内容验证确认存在"Appliance Management Console"或"SonicWall"。

值得注意的是，该模板包含针对不明确版本（version == "12.4.3" 和 version == "12.5" || version == "12.5.0"）的匹配器，这些匹配器已被注释掉——它们被有意禁用以防止误报，因为缺少构建编号的版本无法明确确定漏洞状态（例如，SMA/12.5.0 可能是易受攻击的构建 02002，也可能是已修补的构建 02283）。此设计通过仅标记那些完整版本字符串（包括构建编号）可根据官方公告中的易受攻击范围进行验证的系统，确保零误报，使该模板适用于高置信度的漏洞扫描，其中准确性优先于广泛覆盖。

如何运行此脚本？

1. 下载并安装 Nuclei。
2. 将此仓库克隆到本地系统。
3. 运行以下命令：

nuclei -u <ip|fqdn> -t template.yaml

如果你想扫描主机列表，请执行：

nuclei -l <list.txt> -t template.yaml

参考

• https://nvd.nist.gov/vuln/detail/CVE-2025-40602
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0019
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
• https://www.tenable.com/blog/cve-2025-40602-sonicwall-secure-mobile-access-sma-1000-zero-day-exploited
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-sma1000-zero-day-exploited-in-attacks/

免责声明

使用风险自负，对于你在不拥有或未经许可扫描的基础设施上进行的非法活动，我将不承担任何责任。

许可证

本项目基于 MIT 许可证授权。

联系方式

如果你对此漏洞检测脚本有任何疑问，请通过 Signal 与我联系。

如果你想建立连接，我主要在 Twitter/X 和 LinkedIn 上活跃。