Ein nicht authentifizierter Angreifer aus dem Internet kann über die Management-Konsolen (AMC/CMC) der SMA1000-Appliance nicht vertrauenswürdige Daten deserialisieren lassen und unter bestimmten Bedingungen beliebige Betriebssystem-Befehle ausführen – ohne gültige Anmeldedaten. Die Lücke wurde bereits vor der Veröffentlichung als Zero-Day ausgenutzt. Die SMA 100-Serie und Firewalls sind nicht betroffen.
Advisory als PDF herunterladenVerwundbare SMA1000-Versionen nehmen in den Management-Konsolen – Appliance Management Console (AMC) und Central Management Console (CMC) – von außen zugeführte, nicht vertrauenswürdige Daten entgegen und deserialisieren sie ohne Authentifizierung (CWE-502: Deserialization of Untrusted Data). Unter bestimmten Bedingungen lässt sich daraus die Ausführung beliebiger Betriebssystem-Befehle durch einen unauthentifizierten Angreifer aus der Ferne erzeugen – ein klassischer Pre-Auth-RCE-Pfad über eine unsichere Deserialisierung.
| SMA1000-Komponente | Verwundbar | Fixversion |
|---|---|---|
| SMA1000 (AMC/CMC) | ≤ 12.4.3-02804 | 12.4.3-02854 |
| SMA 100-Serie | nicht betroffen | — |
| Firewalls · SSL-VPN | nicht betroffen | — |
Betroffen ist ausschließlich die SMA1000-Serie über ihre Management-Konsolen AMC und CMC in Version 12.4.3-02804 und früher. Die SMA 100-Serie sowie SonicWall-Firewalls sind laut Hersteller nicht betroffen. Fix ab 12.4.3-02854 (platform-hotfix); exakte Builds gegen SNWLID-2025-0002 abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff bzw. eine Codeausführung auf dem Fernzugriffs-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Konsole abschotten vor Patch, Patch vor Entwarnung.
12.4.3-02804 oder früher? Sind die Management-Konsolen AMC und/oder CMC aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar? Die SMA 100-Serie und Firewalls sind nicht betroffen.12.4.3-02854 (platform-hotfix) oder höher aktualisieren. SonicWall hat den Fix am 22.01.2025 veröffentlicht; er behebt die Deserialisierungs-Schwachstelle.CVE-2025-40602 (Root-RCE in Kombination) mitbewerten und patchen.AMC und CMC der SMA1000 aus nicht vertrauenswürdigen Quellenvor dem Patch-Zeitpunkt rückwirkend auswertenZur Einordnung: SonicWall veröffentlicht zu dieser Schwachstelle keine spezifischen technischen Indikatoren (IP-Adressen/Hashes). Die genannten Punkte sind Detektions-Leitlinien und kein Ersatz für die Analyse Ihrer Konsolen- und Systemlogs.
Wichtig: Da die Lücke bereits als Zero-Day ausgenutzt wurde, kann ein Zugriff vor dem Patch erfolgt sein. Ein reiner Patch entfernt bereits erlangten Zugriff, untergeschobene Konten oder Persistenz nicht – ohne Prüfung des Systems bleibt eine erfolgte Kompromittierung unsichtbar.
SonicWall PSIRT Advisory SNWLID-2025-0002 (CVE-2025-23006) · NVD (nvd.nist.gov, CVSS 3.1 Basiswert 9,8, CWE-502) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 24.01.2025, Frist 14.02.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Zugriffe auf AMC/CMC aus fremden Quellen und unerwartete OS-Befehle im Konsolen-Kontext. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.