SonicWall advierte de una vulnerabilidad de deserialización previa a la autenticación en la consola de gestión de dispositivos SonicWall SMA1000 (AMC) y la consola de gestión central (CMC), con informes de que se ha explotado como zero-day en ataques.
El fallo, rastreado como CVE-2025-23006 y calificado como crítico (puntuación CVSS v3: 9,8), podría permitir a atacantes remotos no autenticados ejecutar comandos arbitrarios del sistema operativo en determinadas condiciones.
La vulnerabilidad afecta a todas las versiones de firmware del dispositivo SMA100 hasta la 12.4.3-02804 (platform-hotfix).
SonicWall destacó que ha recibido informes de que la vulnerabilidad fue explotada como zero-day en ataques.
"SonicWall PSIRT ha sido notificado de la posible explotación activa de la vulnerabilidad referenciada por parte de actores de amenazas", advierte el boletín.
"Aconsejamos encarecidamente a los usuarios del producto SMA1000 que actualicen a la versión de lanzamiento del hotfix para solucionar la vulnerabilidad".
El Centro de Inteligencia de Amenazas de Microsoft descubrió la falla, por lo que Microsoft podría compartir más detalles sobre la actividad de explotación y cuándo comenzó en una fecha posterior.
Se recomienda a los administradores del sistema que actualicen a la versión 12.4.3-02854 (platform-hotfix) y posteriores para mitigar el riesgo.
SonicWall aclaró que CVE-2025-23006 no afecta a los productos de la serie SMA 100, por lo que no se requiere ninguna acción para ellos.
El Equipo de Respuesta a Emergencias Informáticas de Alemania, CERT-Bund, también emitió una advertencia en X instando a los administradores a instalar las actualizaciones inmediatamente.
El investigador de Macnica Yutaka Sejiyama dijo a BleepingComputer que una búsqueda en Shodan informa de que 2.380 dispositivos SMS1000 están actualmente expuestos en línea.
Los dispositivos SonicWall, un objetivo común
Los SMA1000 son dispositivos de acceso remoto seguro utilizados habitualmente por las grandes organizaciones para proporcionar acceso VPN a las redes corporativas.
Dado su papel fundamental en la empresa, las agencias gubernamentales y los proveedores de servicios críticos, el riesgo de que se produzcan fallos sin parchear en ellos es especialmente alto.
A principios de este mes, SonicWall advirtió de un peligroso fallo de omisión de autenticación que afectaba a los dispositivos de cortafuegos, rastreado como CVE-2024-53704.
Ayer, los investigadores de Bishop Fox publicaron un vídeo en el que mostraban su explotación de CVE-2024-53704, prometiendo revelar todos los detalles el 10 de febrero de 2025.
"Aunque fue necesario un importante esfuerzo de ingeniería inversa para encontrar y explotar la vulnerabilidad, el exploit en sí es bastante trivial", se lee en el post de Bishop Fox.
Mientras tanto, el miércoles pasado, Bishop Fox informó que más de cinco mil dispositivos SonicWall susceptibles a CVE-2024-53704 están expuestos en Internet.
Fuente: bleepingcomputer