Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
SECURITY ADVISORY

Rechteausweitung bis root in SonicWall SMA1000 (AMC)

Eine unzureichende Autorisierungsprüfung in der Management-Konsole (AMC) der SonicWall-SMA1000-Appliances erlaubt einem angemeldeten Nutzer, seine Rechte bis auf Root-Ebene auszuweiten. Als Zero-Day wurde die Lücke seit Dezember 2025 aktiv ausgenutzt – in Verkettung mit der kritischen Pre-Auth-Schwachstelle CVE-2025-23006 bis zur unauthentifizierten Codeausführung mit Root-Rechten. SonicWall-Firewalls und deren SSL-VPN sind nicht betroffen.

CVE-ID

CVE-2025-40602

CVSS

6,6

Schweregrad

Mittel

Hersteller

SonicWall, Inc.

Produkt

SonicWall SMA1000 – Appliance Management Console (AMC)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Appliance-Management-Konsole der SMA1000 führt eine Aktion mit unnötig hohen Rechten aus (CWE-250) und prüft dabei die Berechtigung des aufrufenden Nutzers nicht vollständig (CWE-862). Ein bereits angemeldeter Nutzer mit eingeschränkten Rechten kann so administrative bzw. Root-Rechte auf der Appliance erlangen. Verkettet mit CVE-2025-23006 – einer kritischen Pre-Auth-Deserialisierungslücke im AMC/CMC – erhält ein Angreifer den Erstzugriff ohne Anmeldung und hebt sich anschließend über diese Lücke auf Root-Ebene.

Angriffskette

  1. AMC exponiert – die SMA1000-Management-Konsole ist erreichbar
  2. Erstzugriff – Codeausführung über die Pre-Auth-Lücke CVE-2025-23006
  3. Rechte ausweiten – fehlende Autorisierung im AMC (CVE-2025-40602) → root
  4. Kontrolle – Root auf dem VPN-Gateway: Persistenz, Datenzugriff, Lateral Movement

Betroffene Versionen und Fixes

SMA1000-ZweigVerwundbarFixversion
12.4.3≤ 12.4.3-03093 (platform-hotfix)12.4.3-03245 (platform-hotfix)
12.5.0≤ 12.5.0-02002 (platform-hotfix)12.5.0-02283 (platform-hotfix)
SMA 100-Serienicht betroffen—
Firewalls · SSL-VPNnicht betroffen—

Betrifft die SMA1000-Appliances SMA6200 · SMA6210 · SMA7200 · SMA7210 · SMA8200v. SonicWall-Firewalls, deren SSL-VPN-Dienste und die SMA-100-Serie sind laut Hersteller nicht betroffen. Die genannten Fix-Builds sind noch nicht gegen das Hersteller-Advisory verifiziert – exakte Version des eigenen Zweigs unbedingt gegen SNWLID-2025-0019 abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Root-Zugriff auf das VPN-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 17.12.2025 – SonicWall veröffentlicht Fixes (SNWLID-2025-0019)
  • 17.12.2025 – CISA nimmt CVE in den KEV-Katalog auf
  • 24.12.2025 – CISA-KEV-Frist für Bundesbehörden
  • Seither – Als Zero-Day ausgenutzt, verkettet mit CVE-2025-23006

Maßnahmenplan

In dieser Reihenfolge – Exposition schließen vor Patch, Patch vor Entwarnung.

  • Sofort: AMC-Zugang einschränken
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / Log-Analyse
  1. Betroffenheit feststellen
    Prüfen, ob eine SMA1000-Appliance (SMA6200/6210, 7200/7210, 8200v) im Einsatz ist und welche Version/Build läuft. SMA-100-Serie und Firewalls sind nicht betroffen. Nur die SMA1000-Management-Konsole (AMC) ist angreifbar.
  2. Exposition sofort begrenzen (vor dem Patch)
    Zugriff auf die Appliance-Management-Konsole (AMC) auf VPN oder feste Administrator-IP-Adressen beschränken. SSL-VPN-Management-Interface (AMC) und SSH aus dem öffentlichen Internet deaktivieren – das entzieht der Angriffskette den Erstzugriff.
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (12.4.3-03245 bzw. 12.5.0-02283 platform-hotfix oder höher). Exakte Build-Angabe vor dem Einspielen gegen das Hersteller-Advisory SNWLID-2025-0019 abgleichen.
  4. Kompromittierung ausschließen
    AMC- und Authentifizierungs-Logs auf unerwartete administrative Aktionen, neue/erhöhte Konten und Zugriffe aus fremden Quellen durchsuchen. Wegen der Verkettung mit CVE-2025-23006 gezielt auf Anzeichen einer Pre-Auth-Codeausführung achten. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. CVE-2025-23006 mit abdecken
    Sicherstellen, dass auch die verkettete kritische Pre-Auth-Lücke CVE-2025-23006 im AMC/CMC geschlossen ist. Erst beide Fixes zusammen brechen die beobachtete Angriffskette bis root.

Kompromittierungs-Indikatoren

  • Zu prüfende Komponente: SMA1000 Appliance Management Console (AMC)
    administrative Aktionen & Rechteänderungen
  • Verkettete Lücke: CVE-2025-23006 – Pre-Auth-Deserialisierung im AMC/CMC
    (Erstzugriff der Kette)
  • Netz-Exposition: öffentlich erreichbares AMC / SSL-VPN-Management
    SSH aus dem Internet

Zur Einordnung: SonicWall hat für CVE-2025-40602 keine atomaren Indikatoren (IPs/Hashes) veröffentlicht. Maßgeblich ist die Analyse der AMC- und Authentifizierungs-Logs auf unerwartete privilegierte Aktionen sowie auf Spuren der verketteten Pre-Auth-Lücke CVE-2025-23006 – kein Ersatz für eine strukturierte Log-Auswertung.

Wichtig: Die Rechteausweitung selbst erfordert einen bestehenden Zugang – gefährlich wird sie in der Kette: über CVE-2025-23006 verschafft sich ein Angreifer ohne Anmeldung Zugriff und hebt sich dann bis root. Erfolgreiche Schritte erscheinen als reguläre AMC-Aktionen. Ohne Auswertung der Management-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • AMC-Exposition heute einschränken, Patch innerhalb von 72 Stunden einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Sicherstellen, dass die verkettete Lücke CVE-2025-23006 mit geschlossen ist.

Primärquellen

SonicWall PSIRT Advisory SNWLID-2025-0019 · NVD CVE-2025-40602 (CVSS 6,6 / CISA-ADP) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 17.12.2025, Frist 24.12.2025) · Tenable, Arctic Wolf und Help Net Security Threat Advisories. Angaben nach bestem Wissen zum Stand 14.07.2026; die genannten Fix-Builds sind noch nicht gegen das Hersteller-Advisory verifiziert und vor dem Einspielen gegen SNWLID-2025-0019 des eigenen Zweigs abzugleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unerwartete administrative Aktionen im AMC und anomale Zugriffe auf die SMA1000. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • PROJEKT

    CTEM – Continuous Threat Exposure Management →

    Ältere Versionszweige haben hier keinen eigenen Fix, es bleibt nur die Migration. CTEM macht solche End-of-Life-Expositionen sichtbar und priorisiert die Upgrades.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.