Ein nicht authentifizierter Angreifer aus dem Internet kann über eine fehlerhafte Zugriffskontrolle in der SonicOS-Verwaltung auf geschützte Ressourcen zugreifen und die Firewall unter bestimmten Bedingungen zum Absturz bringen. Betroffen sind die Management-Schnittstelle und der SSLVPN-Dienst der Gerätegenerationen 5, 6 und 7. Die Lücke wird seit Ende 2024 aktiv durch Ransomware-Gruppen – insbesondere Akira und Fog – über SSLVPN-Zugänge ausgenutzt.
Advisory als PDF herunterladenSonicOS setzt in den betroffenen Versionen die Zugriffskontrolle in der Management-Ebene fehlerhaft durch. Ein nicht authentifizierter Angreifer kann dadurch auf eigentlich geschützte Ressourcen zugreifen; in bestimmten Konfigurationen führt der Zugriff zusätzlich zu einem Absturz der Firewall. Ransomware-Akteure nutzen die Schwäche vor allem, um sich über den SSLVPN-Dienst mit lokalen Benutzerkonten Zugang zum internen Netz zu verschaffen.
| SonicOS-Generation | Verwundbar | Fixversion |
|---|---|---|
| Gen 5 (SOHO) | ≤ 5.9.2.14-12o | 5.9.2.14-13o |
| Gen 6 (SM9800 · NSsp 12400/12800) | ≤ 6.5.4.14-109n | 6.5.2.8-2n |
| Gen 6 (übrige Appliances) | ≤ 6.5.4.14-109n | 6.5.4.15-116n |
| Gen 7 | ≤ 7.0.1-5035 | 7.0.1-5036 / 7.3.0 |
Die betroffenen Versionen (Gen 5 ≤ 5.9.2.14-12o, Gen 6 ≤ 6.5.4.14-109n, Gen 7 ≤ 7.0.1-5035) sind durch NVD bestätigt. Die genannten Fix-Builds stammen aus SonicWall-Advisory-Angaben, konnten hier aber nicht direkt aus dem PSIRT-Portal verifiziert werden – exakte Zielversion je Modell und Build zwingend gegen SNWLID-2024-0015 für das eigene Gerät abgleichen. Für Gen 7 empfiehlt SonicWall in späteren Hinweisen SonicOS 7.3.0.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine Ransomware-Kompromittierung kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Perimeter absichern vor Patch, Patch vor Entwarnung.
5.9.2.14-13o · 6.5.4.15-116n bzw. 6.5.2.8-2n · 7.0.1-5036 / 7.3.0). Exakte Zielversion je Modell gegen das Hersteller-Advisory SNWLID-2024-0015 abgleichen.SSLVPN-Anmeldungen
SonicOS-Management-ZugriffAkira · FogZur Einordnung: Für diese Schwachstelle sind keine stabilen technischen IoCs (feste IPs/Hashes) veröffentlicht – die Ausnutzung erfolgt über legitime SSLVPN-Anmeldungen mit gültigen Konten. Entscheidend ist die Auswertung der VPN-/Auth-Logs auf anomale Anmeldemuster; die genannten Marker sind eine Momentaufnahme der beobachteten Kampagnen.
Wichtig: Erfolgreiche Zugriffe erscheinen als reguläre SSLVPN-Anmeldungen gültiger lokaler Konten – ohne Alarm. Wer nur patcht, aber lokale Passwörter nicht zurücksetzt und den Perimeter nicht einschränkt, hat neuere Firmware bei unveränderter Angriffsfläche.
NVD CVE-2024-40766 · SonicWall PSIRT Advisory SNWLID-2024-0015 · CISA Known Exploited Vulnerabilities Catalog (Ransomware-genutzt) · Arctic Wolf / Berichte zu Akira- und Fog-Ransomware. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges je Modell gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale SSLVPN-Anmeldungen lokaler Konten und Management-Zugriffe aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.